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hack'er (hàk'ar) 

"Persona che si diverte ad esplorare i dettagli dei sistemi di programmazione 
e come espandere le loro capacità, a differenza di molti utenti, che preferiscono 
imparare solamente il minimo necessario" 



FATTA 



TROVATO 



LEGGE, 



L ' HAC 






ì 



I Ormai sapete dove e come trovarci, appena | 
possiamo rispondiamo a tutti, anche a quelli 
incazzati. 

redazione@hackerjournal.it I 



Immaginate il vostro parco preferito. Quello dove, nelle domeniche di 
sole, andata con gli amici, la ragazza (o il ragazzo), una palla e la chitarra. 
È un parco pubblico, aperto a tutti, e avete tutti i diritti di andarci ogni volta 
che volete. 

Ora immaginate che, un brutto giorno, andate al parco e scoprite che -duran- 
te la notte- qualcuno lo ha recintato e ha messo un cancello chiuso a chiave. 
Nessuno ha cambiato la legge o la proprietà del parco: è sempre un parco pub- 
blico, e continuate ad avere il diritto di entrare e restare per tutto il tempo che vole- 
te. Solo che qualcuno lo ha imprigionato in una gabbia di ferro. 

Fortunatamente, nessuno vi punirà se scavalcherete il recinto, o se forze- 
rete la serratura. Ma se solo provate a vendere o regalare una chiave che 
possa aprire il cancello, rischierete la prigione. In questo modo, solo i più 
"giovani e forti", oppure chi avrà le capacità tecniche per forzare la serratu- 
ra, potrà effettivamente esercitare il suo 

legittimo diritto a entrare nel parco. 

Un meccanismo del genere sembra 
partorito dal genio di Kafka, e invece è 
frutto delle meningi dei nostri parlamenta- j^v' l 

ri. Già, perché se sostituite l'immagine del 
parco con quella del diritto alla copia per- j 
sonale di musica e video, e anziché imma- 
ginare una serratura meccanica pensate a 
una chiave di protezione hardware o soft- 
ware, la situazione descritta qui si applica 
perfettamente alla copia dei CD audio. 

Il Decreto Legislativo n. 68/03 del 09 
aprile 2003, in vigore dal 29 aprile scorso, 
stabilisce infatti la legittimità delle misure 
anti copia messe in atto dai produttori 

cinematografici e musicali, e punisce chiunque "fabbrica, importa, distribui- 
sce, vende, noleggia, cede a qualsiasi titolo, pubblicizza per la vendita o il 
noleggio, o detiene per scopi commerciali, attrezzature, prodotti o compo- 
nenti [...] principalmente progettati, prodotti, adattati o realizzati con la fina- 
lità di rendere possibile o facilitare l'elusione di predette misure (anti copia, 
NdR)". 

Tutto ciò nonostante rimanga in vigore il diritto alla copia personale. Il 
Decreto Legislativo anzi ribadisce che i produttori devono consentire l'eserci- 
zio del diritto alla copia. Il trucco è che, per la legge, è sufficiente che si possa 
effettuare una copia solo analogica. Tutto ciò in un periodo in cui le autora- 
dio a cassette vengono rimpiazzate da quelle con lettore di CD, e in cui il 
walkman sta cedendo il passo ai lettori di Mp3 portatili. 

Cosa si può fare? Visto che la diffusione delle informazioni ancora non è 
reato, da parte nostra abbiamo deciso di pubblicare in questo numero una 
guida su come superare le protezioni anti copia per i CD audio, e stiamo pre- 
parando una sintesi ragionata della legge, per spiegare con parole chiare 
che cosa si può fare, cosa è vietato, e cosa si rischia in caso di infrazione (la 
troverete sul prossimo numero). 
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Hackeriournal.il 

www . h a e 



OSARE : 



per i tuo 



iPO REALE 



NOI PENDENTI DA TUTT 



iti digitali 

1 . i t 



Ij k* -culi*: I n : 






L'ipetrattivo Bismark, in collaborazione 
con Security Flop, ha aggiunto alla home 
page del sito di Hacker Journal un box 
con notizie su sicurezza e informatica, 
continuamente aggiornate. 
Altro che ANSA... 



I NOSTRI/VOSTRI RANNERI 

Volete mettere un banner di HJ sul vostro 
sito? Ne avete ben 120 tra cui scegliere! 
Avete fatt o un banner? Mandatelo all'indi- 
rizzo: 

banner@hackerjournal.it 
Lo pubblicheremo insieme agli altri. 



Hacke^ journal 
'rakus 



u? np*n mnr.h.i 



basher 



Nuova password! 

Ecco i codici per accedere alla Secret 
Zone del nostro sito, dove troverete in- 
formazioni e strumenti interessanti. 
Con alcuni browser, potrebbe capitare 
di dover inserire due volte gli stessi co- 
dici. Non fermatevi al primo tentativo. 



. MIGLIORI DI 

Ecco la classifica dei dieci auto- 
ri di messaggi più prolifici del 
nostro forum. Lodi e applausi 
da parte della redazione; e se 
hanno risposto a qualche 
vostro messaggio, risolvendovi 
un problema, non dimenticate 
di ringraziarli... 



user: 
pass: 



es3me 
assi2 



NOME 



alt_os 

Onscureravan 

Z3n0 

Lord_Dex 

Doctormk 

Milo_Cutty 

Neuromante 

tracciazero 

bigthistle 

Carmageddon 



MESSAGGI 



251 

130 

117 

105 

103 

94 

92 

84 

65 




J"h 



A^Hd-KAl» 



xtaEP'A *i> jj*n-. 



ih.interfre* 






^M 



Spyro 



HOTEUCETR 

jnun 





Jorton 



/w.MARCIO.3000 



www.hackerjournal.it 
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CONDIVIDERE LA CONNESSIONE 

Vi prego aiutatemi! Ho un modem alice 
adsl (il telindus per la precisione) colle- 
gato a un Pentium 3 da tavolo ma ho an- 
che un portatile; volevo sapere come fa- 
re x collegarmi con l'adsl e con lo stesso 
modem anche sul portatile. E possibile 
vero? Siete i più grandi. 



lare un router software sul computer 
che è collegato a Internet e collega- 
re i due PC in rete (anche solo con 
due schede di rete e un cavo Ethernet 
incrociato). A 

Se hai almeno Windows 98 SE sul 
computer da tavolo, nel CD di siste- 
ma trovi il programma di installazio- 
ne di Condivisione Connessione In- 
ternet (se fai una ricerca nell'help di 




Mi hanno rubato tra le altre cose anche il 
mio portatile. Dove il SO era win2000 e 
w98, anche se stavo installando Linux. La 
domanda è: riesco a sapere se si colle- 
gano con il mio PC e le mie password a 
internet? E se la risposta è si, come? Aiu- 
tatemi: mi hanno rubato circa 3 anni di 
lavoro, oltre alla mia passione per il PC 
ed il valore dello stesso... che stronzi figli 



Hai tutta la nostra solidarietà. Innan- 
zi tutto, dovresti sporgere denuncia 
alle forze dell'ordine, e comunicare 
la cosa al tuo provider (meglio per 
raccomandata e allegando la de- 
nuncia). Il rischio infatti è che i ladri 
possano compiere reati su Internet 
utilizzando il tuo account, facendo ri- 
cadere la colpa su di te (in realtà, si 
può benissimo dimostrare che la 
chiamata non proveniva da casa 



tua, ma vallo a spiegare a un pubbli- 
co ministero che non sa nulla di que- 



ste cose...). 
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potrebbe verificare se è stata fatta 
una connessione usando il tuo ac- 
count, e dirti da quale numero di te- 
lefono è partita la chiamata. In que- 
sto modo, è possibile quindi indivi- 
duare i ladri (o la persona a cui han- 
no probabilmente rivenduto il com- 
puter). Dubito però fortemente che 
un provider sia disponibile a soddi- 
sfare questa tua richiesta; magari se 
suggerisci la cosa alla Polizia, loro 
possono fare pressioni più efficaci in 
questo senso. ^k 

Ci sono poi dei programmi che, in- 
stallati sul portatile, inviano a un in- 
dirizzo prefissato ogni indicazione 
utile alla loro localizzazione, lavo- 
rando in modo silenzioso e nascosto. 
In pratica, il computer rubato "chia- 
ma a casa" e comunica la sua posi- 
zione. Ne trovi un po' descritti su 
www.stolenlaptop.com. Occhio però: 
alcuni potrebbero non funzionare 
fuori dagli Stati Uniti. Ovviamente 
però, il programma avrebbe dovuto 
essere installato prima del furto. 



EBOX DIGITALI 



_._._ io noleggio videogio, „ .__.. _ 

sono appassionato 

, di informatica. Mi 

e' venuto in mente 
V\ di creare un juke 
box da mettere nei 
li. Ora io ac- 
to i ed per i ju- 
ke box tradizionali 
da una ditta 
che vende dischi di 






questo tipo. 
Se io li copio sull'- 
hard disk sia come 
wav o mp3 come 
copia di backup 
e lascio all'interno 
lei juke box il sup- 
rto originale non 



-■i^[»lL»[ 



co m meno 

rei funzionare la copia di backup. 

Patrizio M. 



La legge è appena cambiata (ne 
parliamo nell'editoriale e nell'arti- 



colo di pagina 14 di questo numero), 
e in effetti contempla la possibilità di 
effettuare copie del materiale protet- 
to da utilizzare in apparecchiature 
tecniche. Leggendo tra le righe, sem- 
bra di capire che tutto sia pensato 
per agevolare l'uso delle regie auto- 
matiche delle radio, che ormai sono 
tutte basate sull'utilizzo di copie su 
HD dei brani da trasmettere. 
La legge però precisa che deve esse- 
re realizzato un accordo tra l'utiliz- 
zatore o i suoi rappresentanti di ca- 
tegoria, e i proprietari del copyright. 
Temo però che la legge sia così fre- 
sca che questi accordi non siano an- 
cora stati realizzati. Ti suggerisco di 
informarti bene presso le associazio- 
ni di categoria, oppure rivolgendoti 
a un avvocato per sottoporgli la que- 
stione. 



AUGURONI! 

Complimenti per essere arrivati fin 
qui... 1 anno di vitaWE poi compli- 

1 menti anche per non aver perso lo 
spirito che avevate nelle prime usci- 
te (cosa che gli altri periodici non 
hanno fatto)... un saluto e continua- 
te cosi' 

LordHack 

Grazie III 



MITTENTE REALE DEI MESSAGGI 

Salve, volevo sapere se e come è possibi- 
le risalire al mittente (nome e cognome 
reali) di una e-mail del tipo xyzxyz@tin.it. 

^Y Lucky 

Sì, ma non è alla portata di tutti. Per 
farlo (sempre che il tizio non abbia 
nascosto molto bene le sue tracce), 
bisogna consultare il file di log dei 
provider che offrono il servizio di 
mail e di connettività (potrebbero 
anche essere la stessa azienda). 
Questo lo possono fare solo le forze 
dell'Ordine, con un mandato di un 
magistrato. 
In alternativa, potresti provare a fa- 




<^ 
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re un giochetto sporco: creati un'e- 
mail anonima tu stesso, e poi manda- 
gli un messaggio dicendogli che ha 
vinto qualche premio, oppure invitalo 
su un sito in cui gli chiederai di compi- 
lare un modulo coi suoi dati. Se è un 
pollo, ci casca. 



I TESCHI DI CAPITAN HARLOCK? 

In risposta al dubbioso sui teschi del n.24 di 
HJ... Cosa cosa? Come come? Perché ci si 
lamenta per le copertine Skull-toree di HJ?! 
Ma che cavolo! Il Jolly Roger è il simbolo di 




libertà dei pirati/bucanieri, da sempre in 
"pericolo" e legati al rischio del loro stile di 
vita... Vita che poi poteva essre brevissima, 
tant'e' che spesso il Jolly Roger era accom- 
pagnato da Clessidre che ricordavano la 
sua caducità e l'inesorabile trascorrere del 
tempo. Perché da così fastidio sulle coperti- 
ne di HJ che della cultura libera Hacker e' 
strenua promotrice? 

Prendete esempio da Capitan HArloCK 
(HACK?, mah) simbolo di libertà lealf 

amicizia... (Scusate ma nello scrivere qu< 

righe, un po' me la rido). 
Personalmente, sono di parte perche' il mio 
scooter, come il mio casco e la mia sedia in 
casa sono marchiati col teschio? Ho pure 
due belle flag... only 
by Jolly Roger... 

Per me il Jolly Roger e' un simbolo che vuol 
dire indipendenza e liberta' (ancora!) e pu- 
re se rappresentato da un teschio testimo- 



nia per quanto detto caratteri fondamentali 
(non sempre garantiti) della vita. 
Poi siccome non ha le labbra... un teschio 
sorride sempre! 



KAZAA INVASIVO 

Salve redazione, volevo fare un po' di ve- 
loci chiarimenti. Sono un amante del p2p 
e ho appena installato kazaa. 
Fin qui tutto bene, ma programma in que- 
stione è decisamente invasivo. 
Premetto che io ho la versione 6.0 di Ad- 
Aware. Faccio uno scanning e per almeno 
50 scansioni compare sem- 
pre un certo Cydoor e me lo 
da come data miner. Conti- 
nuo a cancellarlo ma riappa- 
re sempre (2 reg. key e 1 file). 
Decido di cercarlo nei mean- 
dri del computer e cancellar- 
lo. Lo cancello e quando ri- 
apro il computer cosa succe- 
de? Kazaa mi da l'errore che 
ho disinstallato un file di fon- 
damentale importanza e che 
devo riinstallare tutto il pro- 
gramma... 

Kazza non può vivere senza i 
famosi biscottini ??? 



Sì, Kazaa è decisamente 
antipatico e impiccione. 
Ne esiste una versione Lite, 
che dovrebbe essere un po' più puli- 
ta. In alternativa, puoi provare i pro- 
grammi di cui parliamo a pagina 20, 
alcuni dei quali sono decisamente più 
rispettosi. 



MOLESTIE VIA 




Vi pre^ 

esistono siti o programmi che possano 
aiutarmi a risalire alla localizzazione (an- 
che solo parziale, meglio se totale), noto 
l'IP di un computer collegato. Trattasi di 
un maleducato che importuna una mia 
collega con frasi oscene, mandando sms 
tramite www.enel.it. Ho quindi a disposi- 
zione l'IP (che ENEL invia) del mittente. 



Sì, per esempio puoi usare il comando 
tracert su Windows (da Start/Esegui 



inserisci tracert JndirizzoJpJ. Però, 
se il maleducato ha coperto le sue 
tracce, rischi di arrivare a un proxy o 
a un utente ignaro di tutto. 
In questo caso, puoi provare a segna- 
lare la cosa a Enel.it o - nei casi più 
gravi - rivolgerti all'Autorità Giudi- 
ziaria, l'unica che abbia il potere di 
recuperare l'informazione completa 
del mittente dei messaggi. Anche do- 
po aver trovato il suo indirizzo Ili in- 
fatti, non potresti comunque risalire 
all'identità della persona, se questa si 
collega da casa con un modem. Le 
forze dell'Ordine invece possono ri- 
chiedere questo dato al provider. Se 
decidi di fare questa scelta, tieni pre- 
sente che la conseguenza potrebbe 
essere un processo. 



UNA PRECISAZIONE 

Vorrei segnalarvi un'imprecisione 

contenuta in un Vostro articolo: 

"UUFMDR: 

USATE UN FOTTUTO MOTORE DI RI- 



CERCA!". L'imprecisione che ho notato 
verte sull'utilizzo della clausola "OR" 
per le ricerche su Internet: 
<A volte, si possono realizzare ricer- 
che molto complesse aggiungendo 
delle 

parentesi per racchiudere gli opera- 
tori logici. Per esempio, con 
un'espressione di questo tipo: 

(pippo OR pluto) AND topolino 

si trovano le pagine che contengono 

le parole pippo e topolino oppure 

pluto 

e topolino. > 

In effetti, questo tipo di ricerca otter- 
rà come risultato non solo le pagine 
contenenti le parole "pippo e topoli- 
no" e "pluto e topolino", come da voi 
riportato, ma anche quelle che con- 
tengono tutti e tre i termini (pippo, 
pluto e topolino). Il vostro esempio è 
basato, erroneamente, sulla clausola 
XOR. 

Korn 
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NEWS 



JNA BRECCIA 
IN KERIO 

un errorino da poco eppure c'è e permette 
di bypassare da remoto il firewall Kerio. Il 
ruleset implementato di default nel firewall 
accetta qualunque pacchetto UDP in entrata 
sulla porta 53, rendendo possibile un port 
scanning mirato a servizi UDP in ascolto. A 
quel punto contattarli attraverso la porta 
stessa è cosa praticamente fatta. Per 
eliminare l'inconveniente basta riformulare la 
regola specifica per la porta UDP, in modo che 
accetti solo risposte DNS originate da name 
server che rispondono ad una query DNS dal 
sistema client. Panico per tutti gli utenti di 
Kerio? No per fortuna, visto che la versione 
buggata pare essere la 2.1.4. Anche se una 
controllala alle altre versioni, per s ~~ 
noi la daremmo lo stess rt 



ALTOPOAPPL 
SALTERANNO LE ROTEL 




ono giunte voci che recentissimamente, 
solo il 24 aprile scorso, all'ufficio brevetti 
americano Apple ha depositato la richiesta 
per un nuovo marchingegno che dovrebbe, 
sostituire la rotellina sul mouse per lo serali' 
delle pagine. Al posto della rotella dovrebbe 
esserci un dispositivo a disco che permette 
di scorrere il documento verticalmente,' 
orizzontalmente e in qualunque direzione ci 
torni comoda. Insomma una roba troppo 
avanti. Ciò che non è detto è che al deposito 
del brevetto segua un uscita del prodotto sul 
mercato. I Mac Users dunque incrocino le 
dita del mouse. 



O IL MIO COMPUTER HA IL VIRUS DELLA SARS □ 






f 




Non è l'esagerazione dell'invasato di turno 
che ormai considera il computer alla 
stregua di un essere umano. Il PC può 
beccarsi il virus eccome. Da qualche tempo 
infatti si aggira per la Rete un worm che si 
propaga via posta elettronica sfruttando la 
paura della SARS, quella brutta influenzona 



mortale che sta inginocchiando l'Oriente. Il 
nome "scientifico"del virus è W32/Coronex- 
A e viene trasmesso a tutti i contatti presenti 
nella rubrica del PC infetto. Per restarne 
immuni non occorrono mascherine o controlli 
più serrati in aeroporto: basta cestinare mail 
e relativo allegato che dovrebbero contenere 
importanti informazioni sulla polmonite 
atipica. Diverse sono le subject con cui la 
mail dell'untore si presenta. Tra le più diffuse: 
"Severe Acute Respiratory Syndrome", "Sars 
Virus", "Corona Virus", "I need your help" e 
"deaths virus". Oltre a modificare il registro 
di Windows, il worm cambierà anche la 
pagina principale di Internet Explorer, in 
modo che il browser si colleghi al sito World 
Health Organization sulla pagina dedicata 
alla SARS. 



O NON CE PIÙ GUSTO 



□ 



Abbiamo passato notti insonni costateci chili 
di occhiaie per trovare info, sgami, di tutto 
e di più sulla duplicazione, ehm sulla creazione 
di copie di sicurezza, dei DVD? Male, 
tempo perso che avremmo fatto meglio 
a impiegare in maniera più produttiva, 
ci verrà da dire leggendo quanto segue. 
Sony infatti ha appena annunciato un 
masterizzatore di DVD multiformato da 
"salotto". Si chiama RDR-GX7 e sarà in grado 
di supportare formati DVD-RW, DVD-R e 
DVD + RW. Come se non bastasse potrà 
leggere e scrivere CD-R e CD-RW e, oltre alle 
tradizionali uscite audio/video, è dotato di una 
porta iLink che consentirà di trasferire file ad 



alta velocità fra il drive e videocamere digitali 
dotate della stessa interfaccia. Per portarci a 
casa questo piccolo miracolo, dovremo 




aspettare il mese prossimo e sborsare intorno 
agli 800 dollari. Se sembra troppo, in attesa 
che inevitabilmente i prezzi si abbassino, 
continuiamo con il vecchio sistema di... copie 
di sicurezza. Almeno le notti in bianco saranno 
servite a qualcosa. 



O BLOCCARE LE INTRUSIONI? SI CAMBIA METODO □ 




Presto il sistema per rilevare le intrusioni 
denominato come Statistical o Behaviour 
Based potrebbe scalzare i 
più diffusi Signature 
Based. Il problema 
più grosso di 
questi sistemi 
.tradizionali, 
basati su un 
'sistema di firme 
e regole, è la 
velocità di 

compilazione delle 
firme stesse, senza le 
quali il sistema si 
dimostra cieco. Per includere 
nella lista un attacco, infatti bisogna 




individuarlo, registrarlo e analizzarlo. Poi 
occorre creare la regola all'interno delle firme e 
distribuire le firme stesse. 
Gli Statistical Based Intrusion Detection, SBID, 
invece hanno tutta un'altra filosofia. In poche 
parole, una volta determinata la normale 
attività del sistema, tutto ciò che esce dai 
parametri della norma viene considerato 
attività sospetta. Gli SBID analizzano 
continuamente il normale traffico della rete in 
cui sono implementati, con una precisione 
direttamente proporzionale al periodo di attività 
dell'IDS stesso. Per questa ragione non 
servono aggiornamenti continui delle firme di 
identificazione e rispetto ai sistemi tradizionali 
garantiscono maggiore copertura alle nuove 
tipologie di attacco. 
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O SAN WEB, SALVACI DAI LAMER 



D 




Chi bazzica gli ambienti 
religiosi o 

semplicemente è attento 
alle tradizioni popolari sa 
bene che in qualunque 
situazione ci si trovi, c'è 
sempre un santo a cui 
votarsi. Esiste il 
protettore di tutto e di 
tutti: degli innamorati, dei 
bevitori, persino dei 
cornuti. Volevamo 

lasciare i navigatori di 
Internet senza patrono? 
Non sia mai. Il sito 
http://www.santiebeati.it 
ha recentemente indetto 



un sondaggio per nominare il Santo Protettore 
degli Internauti. In lizza diversi candidati 
importanti, tra cui persino una donna: Santa 
Chiara. Il ballottaggio finale si è giocato tra San 
Giovanni Bosco e il beato Giacomo Alberione, 
che ha avuto la meglio sul primo totalizzando 
ben 23.677 consensi. Le votazioni, provenienti 
da navigatori di tutto il mondo, sono state 
rigorosissime: un computer un voto. Niente 
favoritsmi. La motivazione che ha portato a 
scegliere Don Alberione è che ha sempre 
dimostrato una grande apertura verso i mass 
media e le nuove tecnologie della 
comunicazione. Ora che il popolo si è espresso 
spetterà al Papa di proclamare ufficialmente il 
beato come "patrono di Internet". L'uomo 
propone, il Papa dispone. 



O TI SPACCO LA CASELLA DI POSTA 



□ 



Non trasmetti la 
corsa 
automobilistica che 
mi manda in 
sollucchero? E io, 
invece di spaccarti la 
faccia, visto che non 
so neanche dove 
venire a pescarti, ti 
bombardo la posta 
elettronica con 
cinquecentomila messaggi. Il ragionamento di 
questo signore dal carattere un po' bizzarro non 
è minimamente piaciuto né alla Fox 
Entertainment che ha commesso 
l'imperdonabile "errore" di trasmettere una 
partita di baseball invece di una gara 




automobilistica 
Nascar, né alla corte 
che ha giudicato 
l'accaduto. 
L' intemperante 
Michael Melo rischia 
ora di dover sborsare 
36 mila dollari a 
risarcimento dei giorni 
di down causati al sito 
della Fox 

Entertainment e di scontare un anno di galera. 
Chissà se l'avvocato difensore riuscirà a 
convincere la giuria che il suo cliente, all'oggi 
pentitissimo, non aveva affatto intenzione di far 
danni. Non è un cattivo ragazzo: è solo un po' 
impulsivo... 



3 ARRIVANO I FLICKERS 



□ 



Nuove creature protagoniste di qualche film 
americano? Macché, anche se i flickers col 



cinema centrano, eccome 




Si tratta infatti di 

ementi 

disturbanti 

che verranno 

inseriti nelle 

pellicole per 

evitare atti di 

pirateria. 

Secondo i 

promotori 

dell'iniziativa, per gli 

spettatori onesti non 

cambierà nulla: i 



flickers non dovrebbero essere 
percepibili né dannosi per l'occhio 
umano. Semplicemente rendono 
inservibili le copie abusive di film 
riprese nelle sale 

cinematografiche. Secondo altri 
osservatori, però, i flickers sono 
percettibilissimi e molto fastidiosi. 
L'unica fregatura, o vantaggio, 
dipende dai punti di vista, è che 
questo sistema funziona solo con 
proiettori digitali. La tecnologia che 
utilizza i flickers non è nuova, ma è stata 
recentemente migliorata e messa a punto grazie 
al patrocinio del governo americano. 



O TESINE ONLINE? 
FINITA LA PACCHI/ 

Perché sbattersi una cifra a fare ricerche per 
quei dannatissimi prof, quando su Internet 
si trova tutto quanto bello e pronto da 
copiare? Per tante ragioni. Una delle quali è 
perché è meglio approfittarne finché dura. 
Presto infatti la pacchia potrebbe finire. Tre 
università australiane stanno dando vita a un 
consorzio che sviluppa un software in grado 
di controllare se i compiti prodotti dagli 
studenti sono originali o... un po' troppo 
ispirati da tesine e contributi vari preì 
sulla Re 



O TU'i iv 
È PAESE 

Un punto su cui Islam e mondo Occidentale 
si trovano completamente d'accordo? Il 
considerare un reato la violazione dei diritti 
d'autore di software e musica. L'Ulemas 
Council, massimo organo religioso 
indonesiano, ha giustificato la presa di 
posizione contro i pirati informatici, 
ricordando che i comandamenti islamici 
vietano di dilapidare le ricchezze altrui e che 
Allah predica il rispetto della proprietà privata 
e la fratellanza tra le persone. 



SUL PALMARE 



A 



I 



Un punto su cui Islam e 
mondo Occidentale si 
trovano completamente 
| d'accordo? Il considerare 
| un reato la violazione dei 
" diritti d'autore di software 
e musica. L'Ulemas Council, 
urlassimo organo religioso 
^^indonesiano, ha giustificato 
^la presa di posizione contro i 
f- pirati informatici, 

Scordando che i 
omandamenti islamici 
ietano di dilapidare le 
ricchezze altrui e che Allah predica il rispetto 
della proprietà privata e la fratellanza tra le 
persone. 
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O IL VESPAIO 
DI TORVALDS 




ti 


k 


yiLinus Torvaids, 
Mpadre dell'ormai 
famoso Linux, è 
bastato ventilare la 
possibilità di 
integrare nel kernel 
del sistema operativo 
le tecnologie di digitai 
rights management, 
per sollevare un 
polverone mai visto. 
Si parla, si discute, ci 
si accapiglia per 
decidere se è bene o 




- 


tecnologie di digitai 
quelle stesse che prote 
contenuti digitali per 
copia non autorizzata, 
visto che è impossibi 
cattive da quelle buo 
usare la firma digitale 
è al di fuori degli obie 
licenza GPL. Ma che il 
affrontato. Voi che 
discussione è aperta. 


no utilizzare 

rights management, 

sggono il copyright dei 

impedirne l'uso o la 

Torvaids sostiene che, 

e distinguere le firme 

ne, la scelta di come 

3 le tecnologie di DRM 

ttivi del kernel e della 

problema deve essere 

ne pensate? La 








» FOTO VIETATA, 






MULTA ASSICURATA 





ì 



IV lon facciamoci prendere dai mun 

lentusiasmi suscitati dalle 

pubblicità dei cellulari dell'ultima ora 

che ci invitano a scattare foto a 

destra e a manca come nulla fosse. 

Se no potrebbe capitarci quanto è 

/successo al povero Gavin Hughes, 

un gallese che durante un processo 

h * fotografato con il cellulare il suo 

ico imputato. Notato da un 

ispettore che si trovava in aula, lo 

^ zelante fotografo è stato 

immediatamente denunciato e 

| i punito con una sanzione di 350 

, t sterline. Leggi locali infatti vietano 

4 lo scatto di foto non autorizzate in 

tali circostanze. Morale: ogni volta 

che ci prude il dito e ci salta in 

mente di "cellufotografare" persone 

sconosciute in luoghi strani... informiamoci 

sulle leggi vigenti. 



O NON CI PROVARE PIÙ 



□ 



Cinque 
anni di 
libertà 
vigilata, 
rimborso di 
un bel 

gruzzolo di 
dollaroni, 
nonché 
riabilitazione 
psicologica coatta. Ecco cosa si è guadagnato 
uno studente di Boston che si era lasciato 
prendere un po' troppo la mano da scorribande 
informatiche illegali. Cosa ha combinato il 



i-^j 



signorino? Bazzecole. Ha semplicemente 
creato un worm che infilatosi nei sistemi 
protetti della sua università, gli recapitava chili 
e chili di dati interessanti. Ha intercettato 
comunicazioni private, si è appropriato di dati 
personali di altri studenti, infine, giusto per 
gradire, si è tolto lo sfizio di qualche spesuccia, 
addebitandola su carte di credito altrui. Come 
se non bastasse, è persino entrato illegalmente 
in alcuni edifici del Campus. Vista la pena 
comminatagli, molti sono convinti che lassù e 
in tribunale, qualcuno lo ami. Altri giudici, per 
fatti analoghi di minore entità, hanno prescritto 
lunghe pene carcerarie. 



O LAVORA, SCHIAVO! 



□ 



Quante volte i nostri capi ufficio hanno 
fatto la voce grossa dicendo: "adesso 
basta con i programmini succhia tempo e 
risorse tipo Kazaaa, WinMx, Icq, MSN: qui 
si lavora, altro che!" Al solito li si lasciava 
dire: passata la buriana si tornava alle sane 
vecchie abitudini. Adesso però tira un'aria 
brutta. IMIogic e SurfControl hanno 
rilasciato alcuni nuovi tool che consentono 
anche all'amministratore di sistema più 
impedito, di filtrare agilmente e 
selettivamente il traffico da e verso 
programmi di file sharing e client di 
messaggistica istantanea. Non serve essere 
capaci di modificare le impostazioni dei 
firewall tradizionali, di bloccare tutto il 
traffico in uscita ed in entrata relativo a client 
di file-sharing o IM. Per guastare la festa ai 



M *— *~ *— 



* * 




dipendenti lavativi bastano pochi clic del 
mouse. Naturalmente le aziende motiveranno 
l'adozione di questi sistemi con ragioni di 
sicurezza aziendale. Eh già... Dannazione, la 
vita dei lavoratori dipendenti è veramente 
grama. 



O TOPPE SALVA WINDOWS 



□ 




Il caro buon vecchio Bill, Gates 
naturalmente, si è deciso a regalarci le 
toppe per riparare i buchi con cui aveva 
mandato in giro le versioni di Explorer dalla 
5.0.1 in poi. Le falle che minacciavano la 
nostra sicurezza erano ben quattro. La prima 
riguardava la gestione di alcuni tipi di dialog 



box; la seconda falla un componente che 
controlla l'upload di dati; la terza riguardava il 
modo in cui Explorer interpreta file di terzi. 
L'ultima falla infine riguardava un buffer 
overrun contenuto all'interno del componente 
URLMON.DLL che si occupa di verificare i 
parametri delle informazioni ricevute da un 
server Web. Le conseguenze possibili dei bug 
sono facilmente immaginabili: crackers 
potevano comodamente avere accesso ai 
dati contenuti nel disco dei malcapitati utenti. 
Cioè noi. Le due patch rilasciate, oltre a 
questi problemi risolvono altri piccoli 
inconvenienti di sicurezza di Explorer e anche 
di Outlook. Entrambe possono essere 
scaricate dal sito Microsoft o attraverso il 
Windows Update. 
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O CRONACHE DAL WEBB.IT DI PADOVA 



Un po' fiera, un po' hack meeting 
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Webbit è qualcosa di strano nel panorama delle manifestazioni legate all'informatica: una via di 
mezzo tra la tradizionale esposizione di stand aziendali, e un hack meeting 
[dove gruppi e individui possono collegare i propri computer a una immensa Lan, 
|e condividere esperienze, conoscenze e passioni. Alla sua terza edizione, ha visto 
moltiplicarsi il numero di community, crew, gruppi di utenti e associazioni, e 
soprattutto il numero dei seminari gratuiti offerti al pubblico: più di trecento 
quest'anno. Questo significa che, ogni mezz'ora, era possibile assistere fino a 
una ventina di seminari diversi. 

Più presenti anche le aziende, anche se in una posizione defilata rispetto all'arena 
delle comunità, vero cuore pulsante della manifestazione. Nelle intenzioni degli 
organizzatori, Webbit dovrebbe essere una importante occasione per mettere a 
contatto queste due realtà, superando la barriera che spesso esiste tra di esse: 
alle aziende si chiede di guardare alla sostanza delle conoscenze e delle 
tecnologie presentate, senza badare se il relatore ha i capelli di Bob Marley e un 
pinguino tatuato sul braccio; agli evangelisti dell'operi source, si chiede di essere 
disponibili a lasciarsi contaminare dal "business". Questo più meno ci ha detto 
■Pier Antonio Maccola, responsabile organizzativo: «Molto spesso, nel mondo 
open source ci si ritrova spesso a "parlarsi addosso". Si incontrano persone che 

1 già conoscono e condividono la filosofia del 
{software libero, e tutti si ritrovano 
d'accordo come quando si sono incontrati. 
Quello che invece cerchiamo di fare con 
Webbit è mettere insieme due mondi 
{diversi, affinché l'uno possa trarre i 
maggiori vantaggi possibili dall'altro». 
Di sicuro Webbit è un'occasione unica per 
piccole comunità gruppi di utenti: 
organizzare un raduno un evento, sarebbe 
per loro un lavoro molto faticoso (trovare un luogo, organizzare 
il soggiorno, pubblicizzare la manifestazione). E probabilmente i 
risultati non sarebbero eclatanti. Qui invece possono incontrarsi 
godendo del massimo supporto (postazioni per computer, 
connettività, un'area attrezzata di ogni servizio, e una camerata 
con brandine per la notte), ed essere sicure di poter parlare a 
migliaia di persone. 



■* 
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CURIOSITHACK 
AL WEBB.IT 

Prendi quattro XBox chippate, caricaci 
Linux e le librerie per il calcolo parallelo 
MIPCH, e otterrai un cluster Beowulf in 
grado di macinare dati come pochi 
computer, a un costo molto basso. 
Questa l'idea dietro a 

XBoxDebian.org, un gruppo di 
amici che a Webbit ha dimostrato di 
saperla lunga. 

Come mettere insieme la passione per 
la meccanica, per l'informatica e per il 
Subbuteo? Semplice, creando una 
squadra per la RoboCup, competizione 
calcistica riservata a piccoli robot! Tutto 
su www . robocup . or g 





Un calcolatore vecchio ai ju anni 
riprende vita, insieme a molti altri 
computer degli ultimi decenni. Tutto allo 
stand del Museo didattico di Storia 
dell'Informatica di Padova, unico al 
mondo riconosciuto dall'Unesco. 
Per info: 
www. fwtunesco.org/musi 
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CRONACA DEL PRIMO RADUNO DI BLOGGERS ITALIANI 



lèsto 




mmim\ 





H sancirne l'inizia forse gli spauentosi euenti bellici in Iraq, for ^ 
cnnuegnn italiana di blagger. 

rmazione e della tecnologia. 




DVi questi ultimi tempi, vi sa- 
rete di certo accorti, navi- 
gando per il web, dell'infi- 
nita quantità di notizie e 
di articoli dedicati ai 
blog e in particolare di al- 
cuni titoli altisonanti come, per citar- 
ne qualcuno, quello del Corriere del- 
la Sera, "Iraq, la guerra dei blog 
ide la Rete" 

■corriere, it/ Primo Piano/ 
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I moderni sistemi di publishing per Blog contengo- 
no moduli per calendari, e strumenti per riportare 
notizie pubblicate da altri blog (Syndication) 



iÈ5r 



Esteri/2003/03_Marzo/25/blog.shtml) 
e di Repubblica, "In Rete si molti- 
plicano i blog di guerra" 

(www.repubblica.it/online/esteri/ 
iraqattaccodieci/blog/b log. html). 
Sembra che gli spaventosi eventi bel- 
lici di queste settimane abbiano in- 
somma contribuito a divulgare que- 
sto fenomeno peculiare della rete a 
cui a Milano, venerdì 1 1 aprile, è 
stato addirittura dedicato un conve- 
gno presso la Casa della Cultura: 
"Blog Age: La riappropriazione 
della comunicazione". 

» Blagger di tutta 
Italia... 

Si è trattato della prima blog con- 
ference, made in Italy, durante la 
quale scrittori, manager, professioni- 
sti della comunicazione, studiosi, stu- 
denti, giornalisti ma anche persone 
comuni hanno potuto incontrarsi per 
la prima volta nel mondo reale, do- 
po aver tanto discusso in quello vir- 
tuale. La formula dell'evento, orga- 
nizzato da "Quinto Stato" (www. 
quintostato.it) e ^il Manifesto" 
(www.ilmanifesto.it), ma alimentato 



da tutta blogosfera, è fjuella della 
"tavola rotonda", aperta a chiunque. 
Molti degli invitati erano muniti di 
portatile e relativa schèda wi- i (la 
sala è stata cablata per l'occasione), 
e persino coloro che non potevano 
essere presenti all'"incontro", hanno 
potuto partecipare grazie ad un 
Blog Age Aggregator (un blog 
collettivo, che ha raccolto tutti i post 
riguardanti lo svolgimento della con- 
ferenza. Tutti hanno riflettuto sul fe- 
nomeno dei blog "nell'ampiezza 
delle sue varianti culturali", con- 
siderato dagli organizzatori e dagli 
stessi blogger come "lo strumento 
più adatto a tradurre la nuova 
cultura mediatica", come 'Tesito 
tecnologico di un lungo proces- 
so di riappropriazione dei mez- 
zi di comunicazione" e come "ul- 
teriore evoluzione della cultura 
del freeweb", ma anche e soprat- 
tutto come uno "spunto" per poter 
affrontare altre tematiche come 
la libertà d'espressione, il diritto 
d'autore, la letteratura rapportata al- 
le nuove tecnologie, la ricerca tecni- 
co-scientifica, la rappresentazione 
pubblica del sé. Per lo meno, erano 
queste le intenzioni iniziali...! 
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Su Blogger si può creare in pochi minuti un proprio Blog, da pubblicare sul proprio sito 
o su Blogspot.com, servizio di hosting gratuito o a pagamento. 



» Un fenomeno 
in crescita 



Che quello dei weblog fosse destina- 
to a divenire un fenomeno di così 
grande significato da meritare persi- 
no in Italia tanta attenzione, era 
forse addirittura prevedibile dal 
momento che ciò di cui stiamo 
parlando è di un agile strumento 
editoriale, che permette a qualsia- 
si utente, nessuno escluso, in un 
momento in cui "la New Eco- 
nomy mira a colonizzare e 
ivatizzare le nuove libertà 
l'avvento della Net- 
work^ ociety" e "il mercato 
tenta 

dall'alto e gen 
contenuti della Rete 7 , ai 
re la pubblicazione dei propri 
contenuti sul web. Vediamo in che ' 
modo! Weblog, lo dice la parola 
stessa, è un "diario on line". 
Diario perché, dal punto di vista 
tecnico, è caratterizzato dall'ag- 
giornamento quotidiano e dalla se- 
quenzialità rigidamente cronologica 
dei contenuti (to log del resto vuol di- 
re anche "registrare cronologicamen- 
te"). E però anche una sorta di gior- 
nale o se vogliamo un giornale vero e 
proprio, in quanto proponendo una 
rete fittissima di links ad altri blogs, fa 
sì che si possa passare rapidamente 
da una visita all'altra, "in una sorta 
di filtraggio open source delle 



notizie presenti in rete 

di autori più o meno caratterìz- 

zati dagli stessi interessi" 

(www.bloggers.it/main/faq.cfm? 
idFaq=l) e perché non di rado con- 
tiene una vera e propria rassegna 
stampa dei fatti del giorno, come nel 
caso dei vari blog sorti durante la 



E' possibile che il blog, anche quan- 
do sia "cazzeggio", chissà, possa in 
qualche modo rivelarci alcune realtà, 
anche spiacevoli, di cui è sempre 
meglio prendere coscienza piuttosto 
che far finta di niente! Un libro aper- 
to, insomma, che ci dice chi siamo 
veramente, come la pensiamo, di 
che pasta siamo fatti. Il blog, infatti, 
ed è questo ciò che conta, è soprat- 
tutto "cultura" e "informazione", sia 
quando propende all'individualismo, 
al diarismo autobiografico, alla rap- 
presentazione pubblica del sé - in 
genere quando è così è firm< 
un solo autore (il weblog di Sa] 
tutto sommato di questo tipo e ci 
nostante ha prodotto informazione) - 
, tanto più quando è di tipo Jlmuni- 
tario, impegnato sul pia ncafpo litico 
ed etico, teso verso la con- 
troinformazione e la lotta 
verso i media dominanti o 
I la diffusione di contenuti 





Splinder.it e 
Clarence.com sono 
due degli spazi italiani 
dove si può aprire 
gratuitamente 
il proprio Blog. 



guerra in Iraq. Grazie al blog, quin- 
di, è possibile pubblicare una notizia 
— anche quella poco diffusa o cela- 
ta dagli organi di stampa istituziona- 
li - e allo stesso tempo esprimere 
pensieri e opinioni a riguardo (vi è 
persino spazio per i messaggi dei let- 
tori), senza essere obbligati ad auto- 
censurarsi (e di auto censura, i gior- 
nalisti professionisti ne sanno più di 
qualcosa!). 



culturali, tecnologici e artistici 
(www. quinto stato, it/archives/ 
000238.html). 

Benché alcuni dei partecipanti al 
Blog Age si siano soffermati, in to- 
no polemico, sui limiti delle discus- 
sioni emerse durante l'incontro e sul- 
le infinite domande rimaste senza ri- 
sposta, tutti sembrano d'accordo su 
di un fatto, almeno credo, e che cioè 
ci troviamo di fronte ad un potente 
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Movable Type è un software che permette a chiunque di aprire un blog con ogni funzio- 
nalità sul proprio sito, ed è anche il motore che gira sotto a molti siti che offrono un ser- 
vizio di Blog gratuito. 



strumento di espressione, comunica- 
zione e diffusione d'informazione sul 
quale forse è necessario riflettere an- 
cora. Uno strumento variamente de- 
finito soprattutto in toni positivi - per 
quelli di Quinto Stato è "un nuovo 
mezzodì espressione, inquieto, 
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Per pubblicare un Blog si può usare anche un browser testuale, 
come Lynx, o persino il proprio telefono (www.audioblogger.com) 



effervescente e ribelle e attra- 
versato dai flussi di scambio 
delle conoscenze, degli interessi 
e delle passioni"; per Wall Street 
Journal "un medium che riflette il 
meglio di internet ...informale, 
anarchico, commercialmente in- 
genuo ed affascinante" -, perché 
"rompe la dittatura silenziosa 



della produzione culturale in 
Italia" (afferma G. Genna di Car- 
milla - www.carmillaonline.com), 
l'altra verità" (dichiara 
Roberto Vignoli di Information 
Guerrilla riferendosi agli scontri del 
G8 a Genova www.informationguer- 
rilla.org), perché 
grazie ad esso "si è 
eramente 
beri" (secondo 
oberto D'Agostino 
Claudio Sabelli 
ioretti) e in quanto 
omunicazione gio- 
cale, "permette lo 
tesso punto di 
artenza a tutti, 
ai grandi gior- 
nalisti agli ultimi 
diaristi" (così af- 
ferma lo scrittore 
Tommaso Labranca 
(www.labranca.co), 
e infine perché può 
far sì che diventi 
realtà l'esortazione 
del manifesto di 
Indymedia (www.indymedia.org), 
l'"lndependent Media Center", con 
cui Carlo Formenti conclude il suo in- 
tervento: "Non odiare i media, 
diventa tu i media". 





UN PO' DI STORIA 

I blog, sebbene un po' diversi nella forma da 
quelli di cui oggi registriamo questo improv- 
viso aumento, esi- 
stono sin dal 1997, 
anno in cui Jorn 
Barger, editor del 
robot wisdom 

weblog (www. 

robotwisdom.com) 
coniò il termine 
"weblog" (si pro- 
nuncia wee-blog, 
come suggerisce 
Peter Merholz nel 
'99) e in seguito 
inevitabilmente 
contratto in blog. 
Posseduti, a quei 
tempi, solo da coloro che avessero un mini- 
mo di conoscenza di html, consistevano per 
lo più in una serie di link che puntavano a 
pagine contenenti a loro volta altri link, a 
pensieri personali, a saggi, ad angoli poco 
conosciuti della rete o a notizie degne di 
nota. Questi link erano sempre accompa- 
gnati da un commento dell'editore, piuttosto 
breve, talvolta dal tono irriverente o sarcasti- 
co. Nel '98 vi erano già numerosi siti di que- 
sto genere. Tra le prime liste di link, ricordia- 
mo la prima page of only weblog 
(www.jjg.net/portal/tpoowl.html) compilata in 
quello stesso anno da Jesse James Garrett, 
editor di Infosit, e quella, dell'anno successi- 
vo, di Brigitte Eaton cui si deve addirittura un 
portale (http://portal.eatonweb.com). 

Sempre nel '99, si assiste anche ad una 
rapida crescita di questa forma di scrittura 
- per il web e alla dif- 
fusione dei primi 
tool, rigorosamente 

free, per pubblicare 
llf \t té ti Uri . . r , .. 

da se facilmente e 

velocemente i oro- 
pri weblog. 
Il primo build-yo'ur- 
own-weblog fu lan- 
ciato da Pitas 
(www.pitas.com); 
fu poi la volta di 
B I o g g e r 
" (www.blogger.com) 
realizzato da Pyra e di Edit This Page di 
Dave Winer (www.editthispage.com). 
Per saperne di più sulla storia e l'evoluzione 
dei blog basta leggere Weblogs: a history 
and a perspective (www.rebeccablood.net/ 
essays/weblog_history.html), un saggio di 
Rebecca Blood, autrice per altro di The 
Weblog Handbook: Practical Advice on 
Creating and Maintaining Your Blog. 



B'ogging 
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GLI APPASSIONATI DEL RETROCOMPUTING SI INCONTRANO A VARESE 
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lome anticipa- 
lo due numeri 
fa, il 27 aprile, presso il MUel-Museo 
Elettronico di Varese, ha avuto luogo la 
prima edizione di "Varese Retrocompu- 
ting". 

La manifestazione si è articolata su un 
intero pomeriggio con interventi di 
esperti e collezionisti di retrocomputing, 
che hanno parlato e presentato, anche 
in funzione, numerosi computer che 
hanno fatto la storia dell'informatica. 
Ne parliamo con Bruno Grampo, orga- 
nizzatore della manifestazione. 



Hacker Journal: Come è nata la mani- 
festazione e quali sono i suoi obiettivi? 



Bruno Grampa: Varese Retro- 
computing è nata con l'obiet- 
tivo di affrontare il retrocom- 
puting con un'ottica un po' diver- 
sa: non solo recuperare e ripara- 
re vecchi computer ma renderli i 
protagonisti di chiacchierate che 
ci consentano di imparare qualco- 
sa dalla loro storia. Tutto questo 
attraverso delle mini conferenze 
dove poter ascoltare direttamente 
dalla voce dei protagonisti la sto- 
ria e le caratteristiche di questi af- 
fascinanti oggetti. 



HJ: Cos'è per te il retrocomputing? 



BG: Mi sono avvicinato al re- 
trocomputing per avere il pia- 



cere di possedere quei 
computer che, da giovane, 
non avevo avuto il piacere di 
possedere. Ho scoperto di po- 
ter condividere questa mia pas- 
sione con molte altre persone e 
che potevo imparare da questi 
vecchi sistemi molto più di quanto 
non avessi superficialmente im- 
maginato. 
Il successo commerciale di alcuni 
computer non è stato direttamente 







legato alle capacità tecniche degli 
stessi; ci sono computer che sono 
stati veramente innovativi e che 
sul mercato non si sono distinti ma 
dai quali ancora oggi si possono 
cogliere visioni e idee rivoluziona- 
rie. Non si può non tenere presen- 
te che le nostre generazioni hanno 
visto nascere l'informatica attuale, 
un avvenimento che per la sua 
evoluzione e rapidità e' stato vera- 
mente unico e formidabile e come 
tale deve essere documentato. 



HJ: Un tuo bilancio su Varese Retro- 
computing 2003? 



BG: Il bilancio è decisamente 
positivo: non mi aspettavo 



i 



una partecipazione così numero- 
sa né il successo di critica che ha 
seguito la manifestazione. 
E' stata una avventura fisicamen- 
te e psicologicamente faticosa, ma 
la soddisfazione è stata veramen- 
te grandissima. 



HJ: La curiosità o l'oggetto esposto che 
ti ha affascinato di più ? 



BG: Mi hanno affascinato 
moltissimo il Mac del ventesi- 
mo anniversario, il Lisa Apple 
tutti i cloni russi dello Spectrum 
Sinclair. E' stato invece molto gen- 
tile e simpatico il sig. Mazzocco 
che ha partecipato alla manife- 
stazione portando direttamente 
una serie di oggetti (da lui defini- 
te anticaglie!) che ci ha poi illu- 
strato. Non mi aspettavo proprio 
una partecipazione simile! 



HJ: E' prevista una edizione 2004 e in ca- 
so affermativo cosa possiamo aspettarci? 



BG: Sì, mi piacerebbe moltis- 
simo che Varese Retrocompu- 
ting diventasse una manife- 
stazione con cadenza annuale. 
Da questa prima edizione abbia- 
mo tratto moltissime idee e spun- 
ti che speriamo di mettere in pra- 
tica l'anno prossimo. Sicuramente 
proseguiremo sulla strada che ci 
ha fin qui caratterizzato e portato 
fortuna, ovvero le conferenze. 
Nel frattempo il sito internet della 
manifestazione (http://retrocom- 
puting.hal.varese.it) verrà nelle 
prossime settimane ristrutturato 
per fornire notizie ed anticipazio- 
ni sulle prossime iniziative. ^ 

dagostino@nezmar.com 



www.hackerjournal.it 
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rotezioni anti copia dei CD audio limitano l'esercizio 

del diritto a effettuare una copia personale: 
noi ci mettiamo una toppa, alla nostra maniera. 
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Qualche mese fa (Febbraio 2003) è 
stato pubblicato sulla rivista Audio Re- 
view (mensile di elettroacustica, musi- 
ca ed alta fedeltà) un interessante ar- 
ticolo sulla protezione dei CD Audio, 
sulla loro effettiva utilità al fine della 
protezione dalla copia, sulla legittimità di un accorgi- 
mento di questo tipo. 

Ciò che mi ha colpito di più è che una rivista specializ- 
zata che va in mano generalmente, non soltanto ad 
appassionati di hi-fi ma anche ad operatori del setto- 
re, avesse una posizione decisamente contraria 
alle protezioni anti copia, perché responsabi- 
li in alcuni casi di un peggioramento della 
qualità d'ascolto, se non addirittura dell'impossibi- 
lità dell'ascolto stesso (mi riferisco alle protezioni che 
impediscono la lettura del ed su computer e come ef- 
fetto collaterale su alcuni stereo per auto). Secondo 
l'articolista di Audio Review, il leit-motiv della protezio- 
ne dei CD è l'intento da parte delle major discografi- 
che di legare il brano musicale al supporto, ri- 
voluzionando la concezione che sta invece al- 
la base di parecchie legislazioni sul diritto 
d'autore tra cui la nostra. Vi faccio un esempio 
pratico: se acquistate un CD e volete averne una copia 
da tenere a casa ed una da ascoltare sul lettore CD 
della vostra auto, non potreste farlo ma dovreste in 
teoria (mooolto in teoria) acquistare due copie dello 
stesso CD. Nella nostra legislazione, invece, la copia 
per uso personale è un diritto, quindi tutte le 
protezioni di fatto sono un impedimento al- 
l'esercizio di un nostro sacrosanto diritto. 
Ci accingiamo quindi a descrivere le protezioni anti co- 
pia per CD Audio dandovi alcune dritte su come effet- 
tuare le copie quando è possibile. Questa è una delle 
rare volte in cui le tecniche descritte possono e devono 
essere utilizzate per poter esercitare il proprio legittimo 



diritto alla copia personale. 

Le tecniche di protezione sono in linea teorica di due ti- 
pi: le protezioni che modificano il TOC (Table 
Of Contents), in modo da dare al programma di 
masterizzazione informazioni errate sulla durata dei 
brani e sul loro punto di inizio o fine; oppure le pro- 
tezioni che inseriscono dei microerrori all'in- 
terno delle tracce audio in modo da bloccare la 
masterizzazione. Questi ultimi sono i principali respon- 
sabili della perdita di qualità. Per riuscire a rilevare il ti- 
po di protezione, e quindi per utilizzare le contromisu- 
re del caso, potete utilizzare ClonyXXL 
(www.clonyxxl.redir.it). Vediamo adesso nel detta- 
glio le più importanti protezioni anti copia per ed au- 
dio. 

» CDS (Cactus Data Shield 
100-200-300) 

Il CDS nelle sue tre versioni è stato realizzato dalla 
israeliana Midbar, rilevata recentemente dalla più po- 
tente Macrovision. La versione 100 e 200 del CDS so- 
no stati adottate dalla BMG. La prima consiste nell'in- 
serimento di dati falsi nella TOC, la seconda 
consiste nella realizzazione di un CD ibrido multises- 
sione in cui vi è una parte contenente i veri e propri fi- 







- fi i- La penna è più forte della spada. E delle protezioni anti 
. copia. Alcune possono essere aggirate tracciando, con 
un pennarello indelebile, un segno sull'inizio della parte dati. I 
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Come succede di solito, per ferma- 
re i pirati professionisti, che usano 
sistemi come questi, vengono col- 
piti milioni di regolari acquirenti che 
hanno un solo masterizzatore. 



le Audio che sono let- 
ti dai normali lettori 
hi-fi, ed un'altra parte 
contenente tutti i bra- 
ni del CD in formato 
compresso (128 

kbps). Quando si inserisce un CD protetto da CDS 200 
sul proprio lettore CD-ROM, viene caricato in au- 
tomatico un player che legge i brani in for- 
mato compresso al posto del lettore di de- 
fault. Potete riconoscere questo tipo di protezione ol- 
tre che dalla struttura delle sessioni anche dalla pre- 
senza dell'eseguibile del player. Un esempio di prote- 
zione CDS è il ed di Natalie Imbruglia "While Lilies Is- 
land" in cui il player si presenta sotto il nome di CAC- 
TUSPJ.EXE. Per copiare i Cd protetti da CDS è necessa- 
rio prima rippare i brani con un programma di estra- 
zione di file audio come WinDAC per poi ricostruire il 
CD con un qualunque programma di masterizzazione. 
L'ultima versione del CDS, la 300, prevede, oltre a tut- 
ti gli accorgimenti della versione precedente, anche 
l'implementazione del DRM (Digital Rights Manag- 
ment) di Microsoft di cui parleremo più dettagliata- 
mente in seguito. 



» Key2Hudìo 



Anche Sony ha sviluppato il suo sistema di protezione 
chiamato Key2Audio e pure in questo caso il disco è 
realizzato in multisessione con divisioni visibili in 
controluce come nel caso del CDS Nella prima 
traccia sono sistemati tutti i brani nel formato standard 
dopodiché vengono inserite una o più tracce di dati. 
Questa protezione consiste nell'inserire degli erro- 
ri nelle tracce dati che mandano in tilt il let- 
tore CD-ROM impedendo non soltanto l'acquisizione 
dei brani su hard disk ma anche il semplice ascol- 
to su PC. Uno dei metodi utilizzati per scavalcare que- 
sta protezione è l'utilizzo di un nastro adesivo per co- 
prire la traccia dati difettosa. Se infatti guardate il ed in 
controluce noterete la presenza di una zona vicina al 
bordo esterno del CD e che ha una riflessione della lu- 
ce diversa. Coprite questa zona con una striscia 
di nastro adesivo e riuscirete ad utilizzare il 
ed come un normale ed audio con la possibilità 
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quindi di rippare o semplicemente di ascoltare i brani. 
Lo stesso risultato può essere ottenuto anche con un 
pennarello indelebile. 

Soluzione alternativa a questa tecnica, che possiamo 
considerare un po' invasiva, è la masterizzazione 
utilizzando Clone CD con un buon masteriz- 
zatore. Le impostazioni da utilizzare in lettu- 
ra sono: velocità massima 4x, scanning intelligente 
dei settori difettosi e lettura dei Sub-channel data sia 
nelle tracce audio che dati. In scrittura invece bi- 
sogna utilizzare una velocità massima di 6x, non ri- 
parare i Sub-channel data, chiudere sempre l'ultima 
sessione ed effettuare la calibrazione della potenza del 
laser. Anche la Sony ha previsto di implementare il 
DRM di Microsoft nelle prossime versioni del 
Key2 Audio. 

» MediaCloq e SafeRudio 

Completiamo la carrellata di protezioni con Media- 
Cloq e SafeAudio, sistemi ormai molto meno diffusi dei 
precedenti. In particolare il secondo (SafeAudio) era 
stato sviluppato dalla Macrovision in collaborazione 
con la TTR Technologies finché la Macrovision non ha 
acquisito la Midbar appropriandosi del CDS, che è di- 
ventato l'unico loro prodotto in questo ambito. La pro- 
tezione consiste nell'inserimento di errori sulle 



TORVALDS DA IL VIA LIBERA 
AL DRM SU LINUX! 

E di un paio di settimane fa la notizia secondo la quale Linus Torvalds, 
papà di Linux, avrebbe inviato sulla mailing list degli sviluppatori del 
kernel del suo sistema operativo un messaggio in cui considerava pos- 
sibile se non addirittura auspicabile l'implementazione di tecnologie di 
DRM sul kernel di Linux. Naturalmente un'affermazione di questo tipo 
ha quantomeno disorientato se non sbalordito la comunità del pin- 
guino, che auspicava uno sviluppo di Linux in direzione opposta. Tor- 
valds dal canto suo ritiene possa essere limitante per linux non imple- 
mentare tecnologie DRM e che il suo intento è sempre stato quello di 
creare il miglior sistema operativo possibile e non di fare politica con 
un software. 

Questa affermazione, per quanto legittima ed entro certi limiti condi- 
visibile, crea un divario incolmabile tra due individui che sembravano 
andare a braccetto fino ad un mese fa ossia lo stesso Linus Torvalds e 
Richard Stallman, guru del free software. Riuscite ad immaginare un 
applicativo per linux che funziona soltanto se si scarica la chiave di li- 
cenza da internet? Il fatto che papà Linus si sia espresso in questi ter- 
mini a mio parere non deve stupirci più di tanto se considerate che 
una delle aziende del progetto Palladium è IBM che ha praticamente 
adottato Linux pubblicizzandolo gratuitamente come il miglior sistema 
operativo: ubi maior (IBM), minor (nocopyright) cessat. A questo pun- 
to però c'è da chiedersi se l'implementazione di tecnologie DRM sui 
sistemi operativi Microsoft e la non implementazione degli stessi su li- 
nux non sarebbe stata una grossa opportunità di maggior diffusione 
per il pinguino. 

Un'ultima considerazione da fare: vista la sua natura libera e open 
source, chiunque potrà compilare un kernel Linux senza DRM e distri- 
buirlo liberamente. 
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COME COPIARE I CD AUDIO PROTETTI 




tracce audio. Questi errori oltre ad impedire la co- 
pia, impediscono anche il buon ascolto del CD, 

poiché spesso vengono interpretati dal lettore dello ste- 
reo come fruscii o clip digitali. La copia di backup di un 
ed protetto da SafeAudio deve essere effettuata attra- 
verso la registrazione dei brani in wav, collegando lo 
stereo direttamente alla scheda audio. La protezione 
MediaCloq è stata una delle prime introdotte sul mer- 
cato e la SunnComm che l'ha sviluppata è stata una 
delle prime a subire una denun- 
cia ed a perdere la causa poi- 
ché non c'erano indicazioni sul ed 
che avvertissero del mancato funzio- 
namento su PC. Inoltre questo siste- 
ma prevedeva che l'utente dovesse 
collegarsi a Internet e riempire un 
form di dati personali per ascoltare i 
brani su PC. Se avete un CD protet- 
to con MediaCloq potete fare riferi- 
mento al seguente indirizzo per 
istruzioni dettagliate sulla copia di 
backup: http://cdprot.cjb.net. 




» Perché tutta ciò? 



A questo punto è opportuno spen- 
dere due parole sullo scopo per cui 
queste protezioni sarebbero state realizzate e se hanno 
centrato l'obiettivo. Possiamo in effetti dire che la pira- 
teria sia sempre esistita: la differenza rispetto a 20 an- 
ni fa e che prima si utilizzavano le audiocasset- 
te ed adesso i CD. Nonostante ciò abbia sicuramen- 
te potuto ridurre gli introiti delle major, non penso sia 
stata l'evento scatenante del ricorso alle protezioni. In 
realtà quello che non fa dormire la notte i presidenti di 
BMG, Sony & C. sono sicuramente gli amati mp3, uni- 
ti all'utilizzo di un programma di file sharing. Allora la 
domanda è: queste protezioni servono ad impe- 
dire la diffusione degli mp3? La risposta è No. 
Perché? Molto semplice: indipendentemente dalla pro- 
tezione che possa essere implementata su un ed, sarà 
sempre possibile a chiunque effettuare una co- 
pia dei brani su PC con un semplice collega- 
mento stereo-scheda audio e un qualunque pro- 
gramma di registrazione audio. Direte voi: "Questo è 
vero, ma la qualità?". Il problema qualità non si pone 
poiché la qualità della registrazione con le re- 
centi schede audio è comunque superiore al- 
l'Mp3 Per cui se convertiamo a 1 92 kbps un file rip- 
pato (ossia una copia digitale perfetta del brano) o una 
registrazione audio otteniamo quasi lo stesso risultato. 



' link unriLi 

www.macrovision.com/solutions/audio/ Sito della Macrovision attuale proprietaria del sistema CDS 
www.windac.de Sito di WinDAC 
www.key2audio.com Sito del sistema Key2Audio di Sony 

http://www.microsoft.com/windows/windowsmedia/drm.aspx Sito dell'implementazione Microsoft del DRM 
http://punto-informatico.it/servizi/ps.asp?! =43896 Torvalds e il DRM 



È da questa inefficacia di fondo delle protezioni anti co- 
pia che nasce l'esigenza di utilizzare le tecnologie DRM. 

» Digital Rigths Management 

Il DRM (Digital Rights Managment) che ho citato in pre- 
cedenza comprende tutte quelle tecnologie che hanno 
come scopo la protezione del diritto d'autore attraver- 
so l'impedimento di attività non autorizzate su 
qualunque prodotto dell'ingegno umano che si 
trovi in formato digitale. Possiamo considerare il 
DRM come l'antitesi degli standard aperti: l'intenzione 
è quella di blindare applicazioni, musica, film e 
testi attraverso la crittografia. 
Microsoft sta già mettendo in pratica il DRM nelle nuo- 
ve versioni del Windows Media Player. L'implementa- 
zione della casa di Redmond prevede il la cifratura del 
file del brano che può essere distribuito sia su CD sia 
via Internet in modo che sia possibile ascoltarlo 
soltanto a chi possiede la chiave di licenza del 
brano stesso. La licenza in questo modo può essere 
diversificata creando delle licenze "scalabili", cioè una 
chiave potrebbe prevedere ad esempio soltanto l'a- 
scolto sul computer in cui il brano è stato scari- 
cato, mentre un'altra potrebbe prevedere la possibi- 
lità di copia su un lettore portatile. Il cuore del 
nuovo sistema Microsoft è il Windows Media Rights 
Manager il cui flusso operativo è il seguente: 

1 Viene effettuata la cifratura del file multimediale che 
può essere distribuito all'utente su ed o attraverso In- 
ternet; 

2 L'utente si collega al servizio License Server del 
WMRM che si occupa della registrazione ed autentica- 
zione dell'utente e dell'invio della chiave di licenza; 

3 L'utente utilizzando la chiave con il suo Windows Me- 
dia Player decifra e legge il file o lo copia in base ai di- 
ritti presenti nella sua licenza. 

Per maggiori dettagli sull'architettura del WMRM vi 
consiglio di consultare il sito Microsoft con il link che 
trovate nel riquadro in queste pagine. 
A differenza di quanto accade con la rimozione delle 
protezioni anti copia (per le quali è vietata solo la ven- 
dita e diffusione di prodotti in grado di superarle, ma 
non il loro effettivo aggiramento, se è a scopo perso- 
nale e non a fini di lucro), l'atto della rimozione o 
alterazione delle tecnologie di DRM è un reato 
in sé e per sé.H 

Roberto 'decoder' Enea 
enea@hackerjournal.it 
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Tranquilli, niente a che uedere con la SHRS, ma si tratta ugualmente 

di qualcosa di molto fastidioso: i uirus informatici. 
Impariamo a conoscerli meglio per combatterli più efficacemente. 




a qualche anno a questa 
parte stiamo assistendo a 
una grande evoluzionedel- 
le tecnologie informatiche 
rivolte alla sicurezza, e in 
particolare antivirus e fi- 
rewall sono diventati strumenti di 
diffusione di massa, specialmente 
con l'utilizzo delle reti geografiche come 
Internet. 

Problemi causati da virus e da altri pro- 
grammi maligni (in inglese malware) so- 
no oramai sulla bocca di tutti, e talvolta 
ne parlano (spesso a sproposito), anche 
telegiornali e trasmissioni televisive. 
Qualche anno fa creare un virus era 
compito davvero arduo: bisognava 
avere conoscenze specifiche di linguaggi 
di basso livello come l'assembler, inoltre 







era necessario padroneggiare in detta- 
glio l'architettura dei sistemi IBM compa- 
tibili per poter controllare la memo- 
ria RAM e rimanere residenti in 
essa (TSR) con lo scopo di riprodursi su 
altri file e di infettare l'intero computer. 
Molti di questi termini potrebbero avervi 
messo in difficoltà, specie se siete alle 
prime armi, ma i concetti da tenere a 
mente sono molto semplici e proceden- 
do con ordine esamineremo tutte le 
principali tecniche di attacco virale. 



» Categorie di uirus 



Innanzitutto bisogna distinguere i vi- 
rus in numerose categorie, classifi- 
candoli come si farebbe con dei 
ceppi biologici, al fine di poter- 
ne delineare differenze e pecu- 
iarità. 

Partendo dalle origini, il termine 
virus è stato coniato qualche de- 
cennio fa e quindi oggi molte 
cose sono cambiate e numerosi 
malware sono spesso conside- 
rati dei virus. In particolare dif- 
ferenti dai virus prima erano 
considerate le Bombe logi- 
che, i Conigli ed infine i Ver- 
>ggi molto diffusi). 



Sebbene i cavalli di Troia non siano dei veri e propri virus, un 

buon antivirus dovrebbe riuscire a identificarli e renderli innocui. WWW.hackerjOlirnal.it |17 
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Per Bomba logica si intende intendiamo 
un programma creato allo scopo di 
arrecare danno attivandosi in de- 
terminate condizioni. Numerose di 
esse sono state spesso considerate dei 
virus, e hanno dato alcuni fastidi agli 
utenti in determinati giorni dell'anno, in 
opportune ricorrenze scelte dagli autori. 

I Conigli (o rabbit) erano chiamati tutti 
quei programmi che, al giorno d'oggi 
con moderna terminologia definiremmo 
Denial of Service (DoS). In pratica il 
loro intento era quello di saturare le 
risorse software di un sistema co- 
me tempo della CPU, memoria, re- 
te eccetera. Ultimamente abbiamo as- 
sistito a bug come quello di alcuni con- 
trolli ActiveX che per un problema di buf- 
fer overflow potevano esaurire le risorse 
di sistema provocando un crash dell'in- 
tera macchina. 

Caratteristica comune alle due tipologie 
presentate è il fatto che entrambi non 
possono riprodursi, al contrario in- 
vece dei worm il cui scopo princi- 
pale è essenzialmente questo. 

II worm ha la capacità di propagarsi in 
rete e di installarsi su altre macchine, e 
spesso sfrutta dei bug conosciuti che 
gli amministratori di sistema in- 
competenti o pigri non hanno an- 
cora risolto con delle apposite 
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Rav Antivirus ha una pagina con le statistiche di 
diffusione dei virus aggiornate in tempo reale. 
È all'indirizzo http://www.rav.ro/ravmsstats/ 



patch. Talvolta a livello mondiale si è 
addirittura assistito a vere e proprie epi- 
demie che nell'arco di poche ore 
hanno colpito server strategici e 

paralizzato il traffico di numerose intranet. 



» Caualli di Troia 
e keylogger 



Un'altra categoria di riferimento, di cui 
vorrei parlare in maniera separata è 
quella dei cavalli di troia (trojan) di cui 
oggi c'è una vera e propria diffusione 
massiccia, specie da parte di tutti co- 
loro che atteggiandosi ad hacker 
cercano di percorrere la strada più 
breve per entrare nel computer 
della loro vittima. 
Trojan qualche anno fa significava pro- 
gramma, che apparentemente aveva 
funzione di compiere una determinata 
operazione, mentre in realtà era prepo- 
sto a minare la sicurezza di un sistema e 
a creare una breccia per potervi entrare 
in un qualsiasi momento (stesso signifi- 
cato di backdoor: accesso dalla por- 
ta di servizio, lasciata aperta dall'au- 
tore maligno). 

Oggi però le cose sono un po' cambia- 
te, ed infatti le backdoor o trojan stanno 
sempre più spesso assumendo connota- 
zioni "stealth", mascherandosi agli occhi 
degli utenti (spesso anche dei più smali- 
ziati) e permettono un pieno controllo 
della macchina da remoto sia per ciò 
che riguarda la visualizzazione dei 
tasti digitati dalla vittima (key- 
logging) sia mediante l'ascolto 
delle conversazioni 




dell'ignaro utente 
attraverso il micro- 
fono di sistema. 

Esempi di backdoor ad 
ampia diffusione sono 
Back Orifice e Netbus. Il 
motivo della grande pe- 
ricolosità di tali pro- 
grammi è stato quello 
che gli autori hanno ri- 
lasciato pubblicamente 
i sorgenti delle applica- 
zioni, permettendo 
agli utenti, anche poco esperti, 
di dare origine ad infinite va- 
rianti, sempre più difficilmente rilevabili 
e costringendo gli utilizzatori di PC, più 
che a fidarsi degli antivirus, a non aprire 
alcun file allegato per evitare ogni possi- 
bilità di contagio. 

Altri programmi con funzione di trojan 
sono proprio i già citati keylogger, ap- 
plicazioni utilizzate anche nelle indagini 
svolte a computer (computer forensic) in 
grado di catturare ogni tasto pre- 
muto dall'utente e di memorizzare 
oltre le password ed i nomi utente 
anche alcune informazioni vitali 
come le chiavi crittografiche di uti- 
lità come PGP, per poi successivamen- 
te decrittare file pressoché impenetrabili. 
Un sistema commerciale dalle grosse 
potenzialità è, per esempio, Amecisco 
Stealth Keylogger, capace di installar- 
si come driver di tastiera, e di avere dun- 
que il massimo della libertà in fatto di in- 
tercettazione e di invisibilità! 
Tornando comunque ai veri e propri vi- 
rus, ovvero a quei programmi creati con 
lo scopo primario di riprodursi per infet- 
tare, non abbiamo ancora delineato 
quali possano essere gli 
attacchi effettuabili da essi. 
Dovremmo infatti distin- 
guere i virus veri e propri 
in altre sotto categorie, co- 
me i virus da boot sec- 
tor, i virus degli ese- 
guibili, i virus delle | 
macro, ed io aggiun- 
gerei gli exploit ed i 
retro-virus. 

Cominciando con ordine, i 
virus da boot sector sono 
stati una delle minacce più 
pericolose di questi ultimi 
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Un'altra interessante fonte è l'enciclopedia dei virus di AVP, 
che trovate su www.avp.ch/avpve/ 



anni, visto che attaccando il sistema 
addirittura nel momento del boot 
rendevano vano ogni tentativo 
maldestro di disinfezione. I virus più 
diffusi però da sempre, sono quelli dei fi- 
le eseguibili, che con la loro capacità di 
infettare i programmi possono portare 
alla paralisi dell'intero sistema in breve 
tempo. 



» Tecniche di 
mascheramento 



Sicuramente questa è la tipologia più 
studiata e discussa visto che ritroviamo 
alcuni "capolavori" in grado di nascon- 
dersi all'occhio degli antivirus con svaria- 
te tecniche di mascheramento degne di 
nota. In particolare, per riprodursi, teo- 
ricamente un virus dovrebbe lette- 
ralmente appendersi ad un altro 
eseguibile per fare in modo che ad 
ogni avvio dell'applicazione vi sia di con- 
seguenza un'esecuzione di esso stesso. 
Adottando una strategia di questo gene- 
re, però, un qualsiasi antivirus o piccola 
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Se cercate informazioni sugli antivirus, queste pagine del Cert sono 
un buon punto di partenza: ci sono link alla documentazione presente 
sui siti di vari produtori di antivirus, università ed enti pubblici e 
privati. Lo trovate su http://www.cert.org/other_sources/viruses.html 
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EPIDEMIA DI CODE RED 

Questa sequenza, tratta dall'animazione disponibile all'indirizzo 

http://www.caida.org/analysis/security/code-red/, mostra la diffusione del 

worm Code Red nelle prime 24 ore dalla sua individuazione. 




OraO 

Quando ci si è accorti della sua esisten- 
za, Code Red aveva già contagiato 159 
server. 




Orai 

Dopo solo un'ora, le vittime sono diventa- 
te 628, sparse sui quattro continenti 
popolati. 
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Ora 6 

Il contagio cresce: siamo a 2350 vittime, 
ovviamente concentrate nelle zone di 
maggiore informatizzazione. 



creata per l'occasio. .^ .,, « ; , 
di un cambiamento nelle di- 
mensioni di un file ed ecco allora che 
la bravura dei programmatori si è sbiz- 
zarrita in molte maniere... 
Altro fattore trainante, che ha contribuito 
alla diffusione di virus specificamente 
progettati per infettare gli eseguibili, è 
stata l'adozione di sistemi operativi 
come Windows che hanno facilita- 
to la programmazione di aspetti co- 
me l'esecuzione in memoria dei pro- 



tare residenti in memo- 
in poco sforzo 
termini di 
program- 




Ora 12 

È passata mezza giornata, ma Code Red 
ha lavorato alacremente, superando i 
5.000 server infettati. 




Ora 18 

In queste ore Code Red fa il suo salto di 
qualità: anche se è difficile apprezzare la 
differenza sulla mappa, le vittime passano 
a più di 235.000 




Ora 24 

Dopo solo un giorno, il verme si è insediato 
in quasi 350.000 server in tutto il mondo. 




» Uirus di oggi 



Con l'introduzione di nuove ed avanzate 
funzionalità in applicativi come software 
di videoscrittura e di foglio elettronico, si 
è diffuso un tipo di attacco addirittura 
impensabile qualche anno fa: i virus 
delle macro. 

Uno dei più famosi è stato sicuramente 
"I love you" che tanto ha fatto parlare di 
sé soprattutto presso la stampa non tec- 
nica, e che ha recato danno ad un in- 
gente numero di postazioni, malgrado le 
capacità di programmazione di un simi- 
le virus siano alla portata di molti. 
Il vero problema della proliferazione di 
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tali macro maligne, infatti, è insito 
proprio nel fatto che la creazione di 
un virus di tal genere è un'ope- 
razione estremamente semplice, 

specie se raffrontata alle altre tipolo- 

Igie virali. 
Visual Basic for Application infatti ha 
costituito e costituisce tuttora un utilis- 
simo/pericolosissimo ambiente per 
programmatori maliziosi ( e non solo) 
e utenti finali. 

E degli Exploit che dire allora? E una 
tipologia di attacco alla sicurezza di si- 
stema, a mio parere, da trattare al 
pari dei virus e quindi come ulteriore 
minaccia alla sicurezza informatica. 
Per problemi di buffer overflow, infatti, 

Isi è potuto ingannare il software 
Outlook e molti programmatori han- 
no sfruttato tale debolezza per far ese- 
guire a tale client di posta elettronica 
gli allegati che contenevano, inutile 
dirlo, dei virus o alcuni programmi 
troiani! 

Passando in rassegna la categoria dei 
retrovirus, ovvero tutti quei pro- 
grammi che cercano di rendere vana 
la protezione antivirus o quantomeno 
tentano di camuffarsi agli occhi dei 
vari engine antivirali, c'è da dire che 
di questo argomento si è già discusso 
sul numero 22 di HJ con un mio 
proof-of-concept, sebbene ci sia da 
precisare che questa tipologia di at- 
tacco risale già agli anni del DOS con 
diverse creazioni, ti 

Paolo Iorio 
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SOTTO CATEGORIE 
DI VIRUS 

Nell'eterna lotta per evitare di farsi identificare 
dagli antivirus, gli autori di programmi malevoli 
hanno dato vita a varianti sempre più raffinate dei 
loro codici. Ecco acuni esempi: 

Virus Mutanti 

Modificano il proprio codice ogni volta che vengo- 
no copiati, in modo da non poter essere facil- 
mente identificati dagli antivirus. 
Virus Cifrati 

Il codice del virus viene cifrato, in modo da non 
rendere riconoscibili le istruzioni nocive da parte 
degli antivirus. Prima dell'esecuzione, il motore 
crittografico decodifica il tutto e lo esegue. 
Virus Multipartiti 

Agiscono sia come virus del boot sector, perché 
entrano in esecuzione all'avvio, ma si diffondono 
attaccandosi ai file eseguibili. 
Virus Polimorfi 

Sono un'evoluzione più sofisticata dei virus 
mutanti. 
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FILE SHARING. ■ 



ALCUNI SOFTWARE E NETWORK P2P MENO CONOSCIUTI 
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Sugli scorsi numeri abbiamo esaminato i più blasonati sistemi di 
file sharing; è tempo di dare spazio anche ai meno conosciuti! 



DIRECT CONNECT 

Direct Connect è un programma di file sharing che è rimasto nascosto 
per tanto tempo ma ora sembra essere uscito allo scoperto e raccoglie 
sempre più utenti. Per quanto riguarda il network su cui funziona, è 

piuttosto simile a 
eDonkey2000 e 
OperNap. Gli idea- 
tori di Direct Con- 
nect hanno lavorato 
I a un software che 
funga sia da client 
che da server, e che 
attualmente viene 
utilizzato da oltre 
40.000 utenti in tut- 
to il mondo. Direct 
Connect è in grado 
di effettuare ricer- 
■ che di file anche 
molto particolari grazie alle numerose opzioni di ricerca avanzata di cui 
è fornito. I punti deboli del programma sono però l'interfaccia incasi- 
nata, che può creare un pò di confusione, e la difficoltà in alcuni casi 
di connettersi ai suoi server. Per gli utenti domestici, i punti deboli non 
finiscono qui: scaricare Direct Connect non è gratis ma bisogna espor- 
re alcuni banner per poter avere l'accesso ai suoi server (cosa che ral- 
lenta lo scaricamento e la navigazione con modem). Le funzioni princi- 
pali di DirectConnect sono raggiungibili dai relativi bottoni situati nella 
parte alta del programma e sono: 

Connect Mostra la finestra per selezionare e connettersi a un server. 
Uses Con questa opzioni si può visualizzare o nascondere la finestra 
degli utenti e serve a mostrare una lista di tutti gli utenti connessi al ser- 
ver su cui ci si trova. 

Transfers Mostra i download e gli upload in corso. 
Settings Serve a modificare le opzioni per il download e l'upload, per 
configurare i programma e il network e cambiare la propria identità. 
Search Una volta connessi ad un server, si può cercare un file tramite 
questa opzioni. Ciccando sul globo è possibile effettuare una ricerca 
avanzata per definire al meglio i parametri di ricerca. 
Direct Connect è attualmente fermo alla versione 1.0 rilasciata oltre 
due anni fa ed è scaricabile dal sito del produttore: 
www.neo-modus.com. 



FILESHARE 

FileShare è l'ultimo programma di file sharing ad aver 
attuato fondamentali modifiche per una maggiore si- 
curezza e protezione da spam, Spyware e virus sem- 
pre in agguato tra 
gli innocenti file 
che si vanno a 
scaricare. Proprio 
per questo è sicu- 
ramente preferibi- 
le ad altri client 
come KaZaA, 
eMule, Direct 

Connect, iMesh 
che basano pro- 
prio i propri gua- 
dagni sugli 

Spyware e banner che sfruttano a discapito degli uten- 
ti. FileShare è uno dei più "puliti" client nel senso che 
è non contiene Spyware, pubblicità, pop-up e virus. 
L'ultima versione è la 1 .4.2 è permette di visualizzare 
graficamente i file incompleti e visualizza i server de- 
gli utenti connessi da cui si sta scaricando qualche fi- 
le. Sono stati anche risolti alcuni bug presenti all'avvio 
dell'applicazione. Il punto debole è che è possibile uti- 
lizzare FileShare solamente con Windows; l'ultima 
versione è scaricabile dal sito 
http://bbn.datakill.com. 



XOLOX 




XoloX è uno dei più popolari client in cir- 
colazione nel mondo del peer to peer 
ed è ritornato recentemente alla ribalta 
con enorme piacere dei migliaia di 
utenti che lo preferiscono a tutti gli altri. 
A causa di difficoltà finanziarie e pro- 
blemi legali XoloX ha un passato piutto- 
sto discontinuo. Comunque una corte di 
appello tedesca permise nello scorso 
Novembre l'uso di KaZaA che non com- 
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OVERNET 



Overnet è senza dubbio uno dei migliori software per il file 
sharing in circolazione sul web. Caratterizzato da un'inter- 
faccia regolabile con l'uso di skin personalizzati, funziona su 
dei propri server senza che ce ne sia uno centrale, troppo fa- 
cile da localizzare e chiudere dalle case produttrici. Le ultime 

modifiche appor- 
tate permettono 
una ricerca molto 
più efficiente e 
download sempre 
più veloci grazie 
al protocollo 

MFTP: è possibile 
così, come in altri 
software simili, di 
scaricare uno 




stesso file diviso in 
parti da più utenti, 
garantendo la si- 
curezza e l'affida- 
bilità dei file scari- 
cati e aumentando notevolmente la velocità. Altro punto di 
forza di Overnet è quello della compatibilità con tutte le prin- 
cipali piattaforme e sistemi operativi in circolazione: da Win- 




dows a Linux ai Mac (anche se per questi è solo a linea di co- 
mando). Con un'interfaccia grafica seguita da uno spazio 
per i comandi manuali sotto Windows, è forse uno dei pro- 
grammi peer to peer più affidabili e sicuri. È possibile scari- 
care l'ultima versione di Overnet dal suo sito ufficiale 
www.overnet.com. 



SHAREAZA 



creto successo. Questo parti 
) software sembra avere p 
ersonalità: ciccando semp,,^ 




il client a proprio piacimento, 
in'interfaccia semplicissima co- 
ne quella di XoloX ad una molto 
omplessa e completa come 
^ueiia di Gnutella; in poche parole 
è un software adatto a tutti, sia ai principianti che ai più e 
punti di forza di Shareaza troviamo la possibilità di 
download simultanei senza troppe ricadute sulla comic 
, un ottimo motore di ricerca per i file, grande efficienza e 
r e, come detto prima, un interfaccia senza parago 
o Shareaza si connette automaticamente alla community 
ella per ottenere una maggiore disponibilità di materir 
labile; importante negli ultimi tempi, è il rispetto per la 
.^y dell'applicazione che è ripulita da ogni Spyware o adwc. 
-omandi principali, disponibili sia nell'interfaccia basilare ci 
ella più complessa sono i seguenti: 

Permette di connettersi e discon netti 
fella che ospitano gli utenti di Sharea 
. semplice clic del mouse. 
E' una particolare opzione che permette di navigun 
za molto più facilmente che in altri programmi di file sh 

- Shareaza è provvisto di un'eccellente organizza; 
} scaricabili; con questa opzione è possibile tenere sot 
Ilo al meglio i propri file a disposizione degli utenti. 
Questa finestra gestisce la propria connessione 
lutella. 

3 delle finestre più importanti quella che perm< 
.e i propri upload e download, con dettaglici 
ini singolo file e sulla sua provenienza. 

il nome lascia intendere che si tra 
ìe per la ricerca dei file, 
arrivato alla versione 1 .6 rilasciati 
^»ile scaricarla gratuitamente dal sit 



www.shareaza.cor 



Netw< 
Transfers 

Open New Search 






portava infrazioni nelle leggi sui copyright. Questo episodio incoraggiò gli sviluppatori di XoloX che resusci- 
tarono la propria opera a cui sono state apportate numerose e fondamentali modifiche. La nuova versione 
rilasciata a Dicembre 2002 include alcuni importanti aggiornamenti come le informazioni sui bitrate, la com- 
patibilità con Gnutella e l'aumento dell'efficienza dei propri network. Ci sono solo quattro sezioni in XoloX, 
tutte raggiungibile con un semplice clic di mouse: 

XoloX Da considerare come "l'HomePage" del programma, questa finestra permette di tenersi aggiornati 
sugli ultimi aggiornamenti di XoloX e sulle sue novità. 

Search La fondamentale finestra per la ricerca dei file che si vogliono scaricare. 

Transfers Mostra gli upload e i download in corso con la possibilità di modificare le opzioni e i parametri 
con cui questi vengono effettuati. 

Files Mostra tutti i file sul proprio computer scaricati e disponibili agli altri utenti. 
L'ultima versione di XoloX è la 1 .41 ultra che si può scaricare da WWW.xolox.nl 
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QUALI SONO I FILESYSTEM SUPPORTATI DA MAC OS XA 



YVL 



HFS, UFS, SMB e gli altri: esploriamo il cosmo uariegato dei oomerosi filesystem 
sopportati da OSX, eoo oo occhio al passato del Maciotosh ed ooo al moodo 

sempre più uicioo di Linu» e Windows. 



econdo le note tecniche di 
Apple il filesystem di Dar- 
win/OSX è progettato su 
un'architettura "Virtual 
File System" (VFS) mo- 
dulare che rende possibile 
aggiungere nuovi filesystem e usare e 
estendere le funzioni di quelli supportati, 
tra cui HFS, HFS+ (noti anche come "Ma- 
cOS" e "MacOS esteso"), ISO9660 (quel- 
lo dei CD-ROM di Windows) ed altri 
ancora. 

L'implementazione di Apple è diversa da 
quella in altri sistemi BSD: i vari filesy- 
stem sono estensioni del kernel, car- 
telle speciali con estensione ".kext" 
simili come concetto ai moduli del 
kernel in Linux. 



Ad esempio 



I / System/Library/ /Extensions/ms 
Idosfs.kext 



è il modulo che abilita il file system RAT del- 
l'Ms-Dos, mentre 



/System/Library/ /Extensions/ud 
f . kext 




Queste "estensioni" risiedono in 
"/System/Library//Extensions/" e molte 
hanno il nome che termina per "fs.kext" 



è quello relativo all'UDF, filesystem 
usato dai masterizzatori su CD riscrivi- 
bili. 

Un altro modo per controllare i vari fi- 
1 lesystem supportati è quello di dare 
una sbirciata a quanto suppor- 
tato dal comando "mount" ad esem- 
pio da Terminale, prima spostandosi nella 
cartella nascosta "/sbin" scrivendo 



ed /sbin 



e poi facendo un elenco di quanto dispo- 
nibile con 



ls grep mount_ 



Vediamo però dal punto di vista pratico i 
principali filesystem, le loro proprietà e 
modalità d'uso. 

» HFS+ contro tutti 



I primi due con cui l'utente di OS X fa su- 
bito conoscenza sono quelli proposti per 
l'inizializzazione del disco (la formattazio- 
ne) al momento dell'installazione del siste- 
ma: HFS+ e UFS. 

II primo, detto anche Hierarchical File 
System +, o "Mac OS Extended" 
("Mac OS Esteso"), è già noto da diversi 
anni agli utenti dei precedenti sistemi, per 
la precisione dalla versione 8.1 del Mac 
OS, dove ha affiancato il più vecchio HFS 
(senza il "+"), in un'operazione che ricor- 
da molto quella di FAT32 e FATI 6 in am- 
biente Windows. 

Il secondo è lo Unix File System, una 
novità assoluta per le macchine Ap- 
ple, ma uno standard del mondo 
Unix e che presenta alcune particolarità 
tra cui quella di essere case sensitive e 
cioè di fare distinzione tra file che differi- 
scono tra di loro semplicemente nell'uso di 
maiuscole o minuscole nel nome (ad es. 
due file chiamati "prova" e "Prova"). 
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Sebbene sia possibile installare OS X su 
una partizione UFS, questa cosa è 

sconsigliata anche dalla Apple stessa: la 
diversità di questo file system può ri- 
sultare un problema nel salvaguarda- 
re l'integrità e la coesione del data e del 
resource fork (le due parti di cui molti pro- 
grammi e risorse Mac sono composti) pro- 
prie invece dell / HFS+ / nato e cresciuto per 

k i I ■ ■• • I. X 



sultare più lenta in fas 

dei file, ma anche nella ricerca dei file in 
quanto l'UFS non permette di guardare 
nel "directory btree" di OSX. Infine, il no- 
me dell'hard disk è tassativamente 

"I" come già visto nel numero 20 di Hac- 
ker Journal, pare addirittura che non sia 
possibile fare il boot di OSX da UFS (viene 
creata una mini partizione di tipo HFS+) e 
in passato ci sono stati anche problemi 
con l'ambiente "Classic" (la funzione di 
emulazione dei MacOS precedenti), 
ora risolti. 

» Cosa si può lare 
con l'UFS 



L'UFS rappresenta un mix di vantaggi e 
svantaggi ed è perciò consigliato relegarlo 
solo a usi come partizioni o immagi- 
ni disco, magari per lo sviluppo software 
o scambio dati con altri sistemi UNIX. 
Per chi vuole per ora solo fare qualche 
esperimento, invece di avventurarsi in for- 
mattazioni o partizioni, è possibile creare 
una semplice e pratica immagine 
disco UFS, o con il programma Disk 
Copy o via Terminale con il comando 
"hdiutil". In questo secondo caso è addirit- 
tura possibile scegliere una modalità detta 
"sparse" con cui la dimensione del 
disco virtuale non sarà fissa ma cre- 
scerà secondo necessità, occupando 
quando vuota poco spazio. Ad esempio 
digitando 



hdiutil create -size lg -type 
SPARSE -fs UFS IiranagineUFS 



verrà creta un'immagine disco "Immagi- 
neUFS" che contiene un volume logico 
grande fino a un giga ma che in realtà, 
finché è vuota, ne occupa solo una frazio- 
ne, 90 Mb. 



Per tutti gli altri usi la scelta più saggia 

è KHFS+ che offre stabilità e compatibili- 
tà con il passato e che con OS X 1 0.2.2 ha 
di recente anche aggiunto una interessan- 
te funzione di "journaling", simile a quelle 
dei filesystem EFS e VXFS di altri l 
cui dedicheremo prossimament 
profondi mento. 



Per quanto riguarda il "vecchio" HFS, ri- 
mane il supporto sia in lettura che 
scrittura (dischi fissi, CD-Rom, Zip, etc.) 
ma non è possibile usarlo per installarci su 
OSX, in quanto difetta della struttura per 
gestire nuove proprietà del sistema opera- 
tivo, come i permessi. 
Tra gli altri formati abbiamo già citato 
UDF e ISO9660: allo stesso modo è pos- 
sibile leggere dischi Windows formattati 
come FATI 6 e FAT32 (Windows 95, 98 e 
ME), anche se non quelli NTFS, usati da 
NT e ultimamente anche da Windows 
2000 e XP 

È possibile inoltre accedere ad altri pe- 
riferiche in rete grazie alla presenza 
in OS X del protocollo SMB (Server 
Message Block): SMB è l'implementazione 
fatta da Microsoft del CIFS (Common In- 
ternet File System) e sostanzialmente si 
possono raggiungere i computer Windows 
(e Linux) nelle reti NetBIOS selezionando la 
voce "Con ned To Server" (command + K) 
dal menù "Go" nel Finder e digitando 



siiìb: //dominio /nome 
computer/nome cartella condivisa 



Con Mac OS X 10.2 è inoltre possibile 
"sfogliare" la rete senza dover usare sin- 
tassi complicate. Chi non ha fatto ancora 
l'upgrade a Jaguar, può scaricare "SMB 
Browse" (http://shukwit.com/ 

smbbrowse.9.2.sÌt) utility che permette 
di fare lo stesso.. 

» Non solo Windows: 
EHT2FS 



far comunicare tra di loro Linux e Mac. 
Si tratta di un'implementazione fatta da del 
filesystem di tipo "EXT2", in genere stan- 
dard sulle distribuzioni Linux e il suo 
uso, seppure sia un progetto indipendente 
e in fase embrionale è perfettamente 
trasparente. L'installazione del program- 
ma aggiunge un'estensione al kernel che 
si integra con gli altri filesystem. Non solo 
è possibile leggere e scrivere dischi Linux 
ma funzionano anche le utility da li- 
nea di comando come "fsck". \cé 

Nicola D'Agostino 
dagostino@nezmar.com 



È disponibile (https://sourceforge. 
net/projects/ext2fsx/) "Mac OS X Ext2 
Filesystem" un prezioso aiuto a chi cerca di 
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...E I FLOPPY? 

Anni fa, Apple è stata una 
delle prime ditte a elimi- 
nare la presenza del 
drive di floppy disk (già 
con il primo iMac)e di re- 
cente si sono viste anche 
altri produttori di compati- 
bili muoversi nella stessa 
direzione. 

Ciononostante sono molte 
le persone che usano an- 
cora questi supporti ed esi- 
ste un mercato per i lettori 
esterni USB. 

Anche se le performance non sono propria- 
mente esaltanti, i drive USB sono attual- 
mente supportati su OSX, fino al punto che 
c'è chi ha realizzato un array RAID con una ca- 
tena di queste periferiche, documentando il 
precedimento in rete 

(http://ohlssonvox.8k.com/fdd_raid. 
htm). Meno fortunati sono coloro che hanno 
drive interni. Per questi esiste anche qui un pro- 
getto indipendente, chiamato SWIM e derivato 
da una distribuzione per Mac di Linux, che si 
prefigge di far funzionare il controller dei 
Macintosh G3 beige (desktop e minitower) e 
dei Powerbook G3 Wallstreet e Main- 
street (quelli neri, senza USB). Per scaricare 
SWIM, che è un prototipo che può anche non 
funzionare (come successo su un Powerbook su 
cui è stato provato senza successo) è disponibi- 
le all'uri ftp://ftp.mklinux.org/pub/ 
darwin/floppy/swim3-0.96.pkg.tar.gz 



^> 



Z4_z /_njzt>_apac u-us-^uuj i^:uj pagina ^4 




CONFIGURARE I CGI DEL WEB SERVER APACHE 

*l I 









M//U», 



^^^^^^H ^ 









Sui numeri 23 e 24 abbiamu uistu come scaricare e installare Hpache 

su LinuH, e come far partire il seruiziu httpd airauuio. 

E' tempo ora di aggiungere qualche funzionalità in più al nostro seruer Web. 




I CGI (Common Gateway Interface, http://hoo- 
hoo.ncsa.uiuc.edu/cgi) è uno standard per 
interfacciare applicazioni esterne con un 
Web Server, creando pagine HTML in modo di- 
namico. Tipiche applicazioni sono query di un 
database o registrazioni di moduli compila- 
ti tramite Web, cioè form HTML (per esempio questio- 
nari o registrazioni per accedere a qualche servi- 
io offerto). L'applicazione 
CGI può essere fatto in 
un qualsiasi linguag- 
gio di programma- 
zione che supporti 
'delle librerie CGI 
contenenti funzioni per 
interpretare dati mandati al Server 
Web tramite i metodi HTML GET o 
POST. I dati vengono inviati al Ser- 
ver Web dove c'è l'applicazione CGI 
installata, il quale eseguirà l'applicazione 
CGI interessata che genererà a sua volta un output, che il Ser- 
ver manderà come risposta al richiedente. Più avanti si farà un 
esempio che chiarirà meglio il discorso fatto. 



Meccanismo CGI: attivazione diretta 
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Meccanismo CGI: Uso dei FORM 
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» Configurare Hpache per i CGI 

Per poter eseguire programmi CGI, essenzialmente bisogna im- 
postare la directory dove sono contenuti i vari scripts. 

Quando si esegue una GET/POST, per esempio nella pagina 
WEB da dove arriva la richiesta, si indica quasi sempre "cgi- 
bin/nome_eseguibile" dove "/cgi-bin/" è il nome simbolico 
(alias) che viene attribuito a tale directory. Apache quindi può es- 
sere configurato a piacere. 

Aprendo il file httpd.conf (il noto file di configurazione) con un 
editor di testi, si noteranno la ripetizione di righe con prima paro- 
la la direttiva Alias. Questa serve per assegnare ad un nome sim- 
bolico una directory reale. In generale il comando setta le direc- 
tory di sistema, per esempio con alias /icons/ si abbina la direc- 
tory dove sono contenute le immagini che rappresentano le di- 
rectory di files e non pagine HTML. 

Per assegnare invece directory contenenti script eseguibili si usa il 
comando ScriptAlias. Detto questo se per esempio le applica- 
zioni CGI sono nella cartella /usr/local/apache2/cgi-bin/ si 
può impostare la directory così 



ScriptAlias /cgi-bin/ "/usr/ locai /apache2 /cgi-bin/' 
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» Questioni di sicurezza 

Con Apache è anche possibile stabilire un comportamento 
particolare in base all'estensione di un file, con il coman- 
do AddHandler. Questo comando è sconsigliato nel caso di pro- 
grammi CGI, perché permetterebbe l'uso ed esecuzione di essi al 
di fuori della directory precedentemente settata. Quindi per que- 
sti motivi commentate (se non è già commentata) la riga: 



#AddHandler cgi- script .cgi 



In questo modo sistemeremo il problema per gli eseguibili che 
abbiano estensione .cgi, ma la cosa si può estendere ad al- 
tri tipi di eseguibili associati ad altri tipi di script. Sempre 
per questioni di sicurezza, è consigliabile aggiungere ulteriori 
controlli sull'accesso alla directory. Infatti un malintezionato 
utilizzando SSI (Server Side Include, direttive che permettono al- 
l'HTML statico di essere interpretato al volo dal Server Web per in- 
serire spezzoni di codice), potrebbe inserire in pagine Html crea- 
te da lui un comando del tipo: 



< !— #exec cgi="cgi-bin/nome_eseguibile"— > 



Questo potrebbe permettergli di accedere a informazioni che 
per noi erano da considerarsi riservate. Per evitare questo 
si "blinda" la directory con una serie di direttive di sicurezza di 
Apache. 

Normalmente l'accesso ad una directory da parte di un utente 
viene controllato con un file nella directory stessa, il file nascosto 
è .htaccess (il nome settato con AccessFileName); in caso di in- 
trusioni potrebbe essere modificato e la nostra configurazione col 
file httpd.conf non sarebbe più valida. Per evitare questo, si usa la 
direttiva AllowOverride None, dove None indica che l'acces- 
so viene controllato invece che da un file, dalle impostazioni date 
da questo comando (None = nessun file). 
Le possibilità di configurazione sono: 

None Impedisce che qualunque direttiva venga scavalcata. 
AH Permette che siano scavalcate tutte le direttive. 

Options Permette l'uso di: 
FollowSym Links Abilita l'uso di collegamenti simbolici 



SymLinksIfOwnerMatch Abilita l'uso di collegamenti simbolici 
solo se il proprietario coincide. 
ExecCGI Permette l'esecuzione dei programmi CGI 
Indexes Permette di ottenere il listato del contenuto 
Includes SSI è permesso 
IncludesNOEXEC SSI è permesso in parte 
Limit Permette l'uso di direttive di controllo sugli accessi. 
AuthConfig Permette l'uso di direttive di autorizzazione. 

Filelnfo Permette l'uso di direttive di controllo del tipo di docu- 
mento. 

Indexes Permette l'uso di direttive di controllo sul listato delle di- 
rectory combinate con queste direttive 

Require Utenti che possono accedere attraverso autenticazione 

Deny Specifica i nodi a cui viene negato l'accesso 

Allow Specifica i nodi a cui viene concesso l'accesso 

Order Ordine di valutazione delle direttive deny e allow 

AuthName Nome o descrizione di una zona sogget- ^^ 

ta ad autenticazione 

AuthType Definizione del tipo di autenticazione. 

quindi si può settore la directory per gli eseguibili CGI in 
questo modo 



<Directory " /usr / locai /apache2 /cgi -bin"> 
AllowOverride None 
Options ExecCGI 
Order deny, allow 
Allow from ali 




</Directory> 



» Gestire gli errori 
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L'ultima cosa da settore per motivi di sicurezza è la pagina di er- 
rore. Essa viene generata al momento di un eventuale 
problema nella fase di esecuzione di un programma 
CGI, oppure in una ricerca azzardata di un malintenzionato. Se 
da un browser viene digitata la stringa "http://nomesito/cgi- 
bin/", normalmente viene generata una pagina di errore se l'e- 
straneo non ha permessi di accesso. Questa pagina però svela 
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La pagina di errore standard permette di scoprire la versione del server utilizzata. Se un malintenzionato vuole scoprire questo dato, 
facciamolo almeno lavorare un po' di più, eliminando questa inutile informazione, con una pagina di errore personalizzata. 
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La password è: journal 



Il risultato dell'esecuzione del CGI presentato 
in queste pagine. 



Aa versione di Apache utilizzata. So- 
spendo la versione, un malintenzionato, 
potrebbe cercare eventuali bug conosciuti e 
.non ancora sistemati dall'amministrato- 
're del sito. Quindi è sempre importante 
aggiornare il Server Web che si è instal- 
lato. Per rendere difficile la vita dell'eventuale intru- 
^sore è consigliabile modificare la pagina in questo 
'modo. 



ErrorDocument 403 "Forbidden: You don't 
have permission to access /cgi-bin/ on this 
server. " 



infatti con la direttiva ErrorDocument e il numero dell'errore si 
può settore la risposta da dare, in formato testo o pagina 
html, quindi per i discorsi fatti prima si possono cambiare a pia- 
cimento le pagine di errore o crarne alcune in modo dinamico 
con script CGI. 



ErrorDocument 404 /mi ssing.html 



Esempi di pagine di errori si possono trovare nella cartella 
/usr/local/apache2/error. 



» Esempio di script-CGI 

Un veloce esempio di script CGI potrebbe essere l'implementa- 
zione di una pagina Web di login, che richiede l'inserimento di 
username e password, li passa come parametri all'applicazione 
CGI e come risultato produce la visualizzazione di ciò che si è in- 
trodotto. L'esempio svolto è uno script-CGI fatto in C. Normal- 
mente questi script vengono fatti in Perl, che è un linguaggio in- 
terpretato dove la compilazione è al volo, ma come dicevamo 
questa non è l'unica opzione. 
Partendo dal form in html si ha: 



<html> 

<head> 

<meta http-equiv="content-type" 
content="text/html; charset=ISO-8859-l"> 



.le>login</title> 
</head> 
<body> 

<hl>Prova di una login: </hl> 
<f orm action=" /cgi-bin/login . cgi" 
enctype="multipart/form-data" 
method="post"> 
<h3> Nome: </h3><br> 
< input type="text" name="nome"> 
<h3> Password: </h3> 

< input type=" password" name="pas sword" > 
<br> 

<input type="submit" value="ok"><input 
type="reset"value="cancella"> 
</form><br> 
</body> 
</html> 



Senza entrare troppo nel dettaglio (per saperne di più sull'HTML, 
andate su http://www.w3.org/TR/html4/) si può notare l'ini- 
zio del form ( form action ), notare il file eseguibile chiamato "/cgi- 
bin/login. cgi". Un'altra cosa da notare sono gli oggetti di input, 
input type="text" e input type= // password // , i loro nomi 
sono i nomi dei parametri da verificare. Ora si dia una occhiata 
alilo script-cgi scritto in C, nel riquadro in queste pagine. 
Inanzitutto per compilare lo script si deve possedere il file cgic.h 
(scaricabile da http://www.boutell.com/cgic) e il file cgic.c 
contenente tutte le funzioni che servono per gestire i parametri 
(anche per l'attivazione di eventuali cookie e altro). Ora come si 
può notare con la funzione cgi Form Entries, si controllano i 
parametri esistenti, in questo caso esisteranno sempre ma per al- 
tri oggetti di input (come i check box) non è detto che ci siano. Al- 
tra funzione importante è la cgiFormString, dal nome del para- 
metro si ricava il valore, nella variabile result. Infine si libera la 
memoria allocata nella variabile array (usata per il controllo dei 
parametri) con la funzione cgiStringArrayFree. Si può notare, 
in base ai parametri introdotti, la stampa sullo standard output 
cgiOut usando la funzione printf. Apache invierà il tutto al brow- 
ser client richiedente. La funzione cgiHeaderContentType, me- 
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IL CODICE DEL CGI 

#include <stdio.h> 
#include "cgic.h" 
#include <string.h> 
#include <stdlib.h> 

void HandleSubmit ( ) ; 

void ShowForm( ) ; 

void CookieSet(); 

void Name ( ) ; 

void Address ( ) ; 

void Hungry( ) ; 

void Temperature ( ) ; 

void Frogs ( ) ; 

void Color ( ) ; 

void Flavors ( ) ; 

void NonExButtons ( ) ; 

void RadioButtons ( ) ; 

void File( ) ; 

void Entries ( ) ; 

void Cookies ( ) ; 

void LoadEnvironment ( ) ; 

void SaveEnvironment ( ) ; 



no importante delle altre, mette come inte 
stazione di risposta lo stesso header della 
pagina richiedente. ^ 

Per compilare il file C, chiamato per' 
esempio login.cgi.c , se si desidera che 



crei il file eseguibile login.cgi nella direc- UgA 

% 



tory con il file cgic.c e cgic.h, si deve 
eseguire il comando da shell 



— — « 



-o login.cgi login.cgi.c cgic.c 



1 \\ 



1 \ 



Ora, conservando i file sorgenti in un posto sicu- ^ 
ro, va copiato il file eseguibile login.cgi nella di 
rectory /usr/local/apache2/cgi-bin. La pa- 
gina Web HTML la si può creare copiando il te-£ 
sto descritto sopra in un nuovo file di testo, ri- ,f f 
nominarlo come file .html per esempio, e co- j ^ 
piarlo all'interno della directory delle pagine HTML del Server 
Web. Con un browser provare a visualizzare la pagina e veder- 
ne il funzionamento, m 

bDyminB1@libero.it 




int cgiMain( ) { 

char **array; 

char result[256 ] ; 

/* riscrivi come header lo stesso della pagina di richiei 

cgiHeaderContentType ( "text/html" ) ; 

/^titolo pagina*/ 

printf ( cgiOut , "<HTML><HEAD>\n" ) ; 
fprintf (cgiOut, "<TITLE>Risultato login:</TITLE></HEAD>\n" ) ; 

/* verifica del corretto passaggio dei parametri */ 

if (cgiFormEntries (&array) != cgiFormSuccess ) { return 0; } 

/* elaborazione parametri ( stampo solo ) */ 

cgiFormString( "nome" , result, 256) ; 

if (strlen( result )==0) 

fprintf (cgiOut, "<BODY><Hl>Manca il nome</Hl><br>" ) ; 

else 

fprintf ( cgiOut , "<BODY><Hl>Nome : %s</Hl><br>" , result ) ; 

cgiFormString( "password" , result , 256 ) ; 

if (strlen( result )==0 ) 

fprintf (cgiOut, "<BODY><Hl>Manca la password</Hl><br>" ) ; 

else 

fprintf (cgiOut, "<BODY><Hl>La password è: %s</Hl><br>" , result ) 

/* CHIUSURA CODICE HTML */ 
cgiStringArrayFree(array ) ; 
fprintf ( cgiOut , "</BODY></HTML>\n" ) ; 
return 0; 
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orare meglio il linguaggio Jaua occorre conoscere bene l'ambiente 
.io col quale programmiamo ed utilizzare al meglio tutti gli strumenti 
che i ricercatori della Sun ci mettono a disposizionr 





bbiamo già avuto modo di dire che per scrivere, 
compilare ed eseguire codice Java non è neces- 
sario districarsi tra vari comandi che possono con- 
fondere le idee a chi ancora non ha dimestichez- 
za con il mondo della programmazione. E infatti 



necessario lanciare il comando javac per con 
e il nostro codice ed in seguito il comando java per eseguir- 
si sa, uno smanettone non si accontenta di co- 
noscere lo stretto indispensabile delle cose... 



» Da doue inizio? 



Per iniziare ovviamente è necessario scaricare il software di 
sviluppo. Dal sito ufficiale di Java, 

http://java.sun.com/j2se è possibile scaricare la piat- 
taforma standard edition. Qui troviamo due differenti pacchet- 
ti da scaricare: JRE ed SDK. Il primo comprende il Java Run- 
time Environment, ovvero il runtime del linguaggio, costi- 
tuito dalla macchina virtuale e dai pacchetti base della piatta- 
forma. Questa distribuzione è rivolta soltanto agli utenti e non 
agli sviluppatori. Per iniziare a scrivere o modificare 
programmi in Java dobbiamo utilizzare il Software 
Development Kit, o JDK, che comunque al suo interno 
comprende anche il pacchetto JRE. Parecchie piattaforme sup- 
portano la tecnologia Java. Sul sito ufficiale troviamo la piatta- 
forma di sviluppo per Windows, Linux e Solaris. Altri sistemi 
operativi sono supportati da terze parti. Ad esempio, se volete 
programmare in Java sotto Mac OS, potete reperire informa- 
zione su www.apple.com/java o su http://develo- 
per.apple.com 



» Cosa contiene 



La distribuzione standard dell'ambiente di sviluppo è 
divisa in tre parti: 

Strumenti di sviluppo: A questa categoria ap- 
partengono tutti gli strumenti che ci permettono non soltanto di 
compilare ed eseguire il codice Java, ma anche altri softwa- 
re utili per la verifica e la distribuzione del bytecode 
prodotto. Troviamo questi strumenti all'interno della cartella 
bin dopo avere installato I' ambiente di sviluppo. Tra gli 
strumenti più interessanti troviamo l'ap- 
pletviewer, che ci consente di visualizza- 
re e testare le nostre applet prima di inse- 
rirle in una pagina HTML e il jar, grazie al 
quale possiamo racchiudere un programma 
scritto in Java in un file compresso JAR. Que- ' 
sti archivi oltre che garantire una maggiore 
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Applet Sono delle applicazio- 
ni scritte interamente in Java 
che vengono caricate dal 
browser come parte integrante 
di una pagina HTML. 



facilità di distribuzione del software, possono rendere il softwa- 
re da noi realizzato eseguibile senza utilizzare la riga di co- 
mando. 
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Macchina Virtuale: Questo componente è necessario per 
l'esecuzione del bytecode. Installando l'SDK avremo a disposi- 
zione anche la macchina virtuale Java. 

Pacchetti base: Possiamo pensare ai pacchetti come a delle 
raccolte di funzionalità software che soddisfano le esigenze più 
svariate dei programmatori Java. All'interno dei pacchetti base, 
quindi, saranno contenuti strumenti utili per il networ- 
king, per la manipolazione delle immagini o per l'u- 
tilizzo di date ed orari, per esempio. 
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Aprendo la cartella bin dell'sdk possiamo vedere tutte le applicazione che 
ci permetto di gestire al meglio il nostro codice scritto in Java. 



C:\j2sdkl.4. l\bin 



Ovviamente per eseguire questa operazione è necessario ave- 
re i diritti di amministrazione sul sistema. 



JAR È un archivio com- 
presso contenente codice Java 
che può essere reso ovviabile 
come un normale file EXE. 



i» Jaua e Linu» 



Per Linux, come abbiamo avuto già modo di sottoli- 
neare, sono disponibili due SDK. Benché Sun Mi- 
crosystems supporti soltanto Linux Red Hat è possibile installa- 
re l'ambiente di sviluppo sulla maggior parte delle distro. Il no- 
me del file RPM è j2sdk-l_4_l-linux-i386-rpm.bin (ovviamente 
può cambiare il numero di versione e di conseguenza anche il 
nome del file da scaricare). Per avviare l'installazione, 
da root digitiamo: 



rpm — iv j2sdk-l_4_l-f cs-linux-i386 .rpm 



Il secondo file disponibile per il download prende il nome di Li- 
nux GNUZIR Per installarlo posizioniamo il file in una di- 
rectory qualsiasi e poi lanciamo il comando 




./ j2sdk-l_4_l-linux-i386.bin 
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» Jaua e Windows 



Per installare la piattaforma J2sdk su Windows è necessario 
'semplicemente avviare il programma di installazione. Dob- 
biamo spendere invece due parole sulla sua configurazione, 
che se eseguita in modo errato, a volte può compli- 
carci la vita... Annotando il percorso degli eseguibili nella 
variabile di sistema PATH, infatti richiameremo tutto ciò che ci 
serve per programmare senza dovere scrivere da riga di co- 
mando l'interno percorso nel quale sono situati gli eseguibili 
della cartella bin. Nel caso in cui avete eseguito l'installazione 
standard delI'SDK 1.4.1 su Windows 95 e 98 occorre ag- 
giungere la seguente riga al file Autoexec.bat: 



SET PATH=%PATH%; C : \ j2sdkl . 4 . l\bin 



In Windows XP e 2000 invece dovete accedere alla voce Si- 
stema -> Avanzate -> Variabili d'ambiente. A questo 
punto dobbiamo modificare la voce PATH, aggiungendo nel 
campo valore il percorso 



Anche in questo caso aggiungiamo alla variabile di sistema 
PATH il percorso che ci indica dove sono situati gli eseguibili 
delI'SDK Supponendo che abbiamo installato tutto all'interno 
della directory /usr/java/j2sdkl. 4.1 occorre aggiungere la se- 
guente riga al file /etc/profile, agendo come root 



PATH="$PATH:/usr/java/j2sdkl.4.1/bin' 



Bene, adesso che abbiamo installato la piattaforma di svi- 
luppo vediamo come utilizzare al meglio i suoi strumenti 
più importanti. 



Il sito 

www.apple.com/java/, 
dal quale potrete 
scaricare tutto il 
necessario per 
programmare in 
Java sul vostro Mac OS. 
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Queste sono le versione di j2sdk scancabih gratuitamente dal sito uf- 
ficiale di Sun Microsystems. 
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» Il compilatore 



....pilatore è uno degli strumenti essenziali del- 
fina si sviluppo in quanto converte il nostro 
sorgente che avrà estensione .java in byteco- 

de, il codice già compilato che poi sarà eseguito dalla 
Java Virtual Macchine. Parlando del compilatore è be- 
ne sottolineare che oltre al compilatore di Sun Microsy- 
stems ne esistono altri. Uno dei migliori, Jikes, è stato prodot- 



to direttamente da IBM. Questo prodotto è leggerissimo e la 
sua natura open source ha spinto alcuni programmatori a rea- 
lizzare il porting verso altri sistemi non supportati direttamente 
da IBM. Oltre che per Linux, Windows e Mac OS è stata 
realizzata una versione di Jikes per sistemi Amiga. Il co- 
mando da utilizzare per compilare un file sorgente è il se- 
guente: 



javac nome_della_c lasse. java 



Ogni programma scritto in Java sarà costituito da una serie di 
classi che dipendono l'una dall'altra. Quando si compila un 
programma non si dovranno compilare tutte le classi che fan- 
no parte di quel software in quanto il compilatore rileva 
automaticamente le dipendenze tra i vari file. Quan- 
do vogliamo compilare tutti i sorgenti contenuti in una direc- 
tory, possiamo spostarci nella directory che ci interessa e digi- 



javac *.java 



Così facendo, tutti i file con estensione .java saranno convertiti 
in bytecode. Il compilatore della Sun inoltre supporta alcune 
opzioni, vediamo assieme quali sono quelle più utilizzate: 



javac — o nomeFile.java 



IL NOSTRO PRIMO PROGRAMMA 

Bene, adesso che abbiamo preso confidenza con l'ambiente di lavoro, non ci resta che cominciare a smanettare con un po' 
di codice... Questa volta cominciamo con qualcosa di leggermente più complesso dell'ormai noto programma che ci dice 
"Hello World". Nell'esempio da me commentato potete vedere come con poche righe di codice possiamo crearci un "rudi- 
mentale" orologio virtuale. Vi invito pertanto a cominciare da questo esempio e magari di provare a migliorarlo... 



// Importiamo j ava. util. Date per la manipolazione di date e orari 
import java. util. Date; 



// Definiamo la classe chiamandola data 
class data { 

// Introduciamo il metodo main( ) 

public static void main( String[ ] args ) { 

//Creiamo un nuovo oggetto di tipo Date 
Date data = new Date() ; 




// Utilizzando i metodi getHours ( ) e getMinutes() facciamo stampare a video 
System. out .println( " Sono le ore: "+data. getHours ( ) 

+":" +data.getMinutes( ) ) ; 
} 
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Utilizzando questa opzione il bytecode prodotto avrà presta- 
zioni più elevate. L'utilizzo del parametro — o è consigliato per 
la pubblicazione finale del software che vogliamo realizzare. 
javac — g nomeFile.java 

Con questa opzione il compilatore include nel bytecode alcu- 
ne informazioni che ci potranno essere utili nella fase di de- 
bug del nostro programma. Infatti in caso di errore avremo un 
quadro dettagliato del problema quando eseguiamo il nostro 
bytecode. 

javac @nomeFile.txt 

In questo modo possiamo conservare tutti gli argomenti che 
dovremmo passare manualmente al compilatore in un file di 
testo e poi richiamare questo file utilizzando questa opzione. 
Supponiamo per esempio che vogliamo compilare i file Hac- 1 
kerJou mal. java e CiaoMondo.java utilizzando le opzioni — o ' 
e — g. Creiamo il file di testo SorgentiJava.txt e digitiamo su 
righe distinte: 
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Utilizzando un editor facilitato, come Jcreator, è possibile scrivere il no- 
stro codice e testarlo attraverso una comoda interfaccia grafica. 



o 

g 

Hacker Journal . java 
CiaoMondo . j ava 



Poniamo il file di testo nella stessa directory contenente i file 
sorgente e lanciamo il comando 



javac @Sorgentuava.txt 

Otterremo lo stesso risultato che si avrebbe digitando i singoli 
argomenti da riga di comando. 



>» L'interprete 



Per eseguire le applicazioni java dobbiamo necessa 

• x_ ..xti: !/• j. j._ x il 



coman- 



do che utilizzeremo per avviare l'interprete è il se- 
guente 



Con l'opzione classpath specificheremo il percorso nel quc 
trovano i nostri file class. 
java — client 

Con il parametro -client verrà ottimizzata l'esecuzione per pro- 
grammi di natura client in sistemi Windows. Per avere lo stesso 
risultato quando lavoriamo con sistemi Linux l'opzione da uti- 
lizzare sarà — hotspot. 
java — server 
Questa opzione ottimizza l'esecuzione per programmi di natu- 



Ricordiamo comunque che il comando java non è l'unico in 
grado di eseguire le nostre applicazioni. All'interno della car- 
tella bin di J2sdk troviamo l'applicazione javaw, che sui siste- 
mi Windows permette l'esecuzione di applicazioni a finestre 
senza tenere impegnata nello stesso tempo la nostra console. 



Nel prossimo numero vedremo come realizzare le nostre prime 
applicazioni interamente in Java cm 



java nomeClasse 



senza specificare l'estensione del bytecode 
(.class). L'interprete esegue solo file che rap- 
presentano un'applicazione, e che quindi con- 
tengono il metodo statico main(). Ovviamente 
anche l'interprete supporta alcune opzioni. 
Come sempre vediamo assieme quelle più uti- 
lizzate: 

java — version 

Utilizzando questa opzione saranno visualizza- 
te alcune informazione che riguardano l'am- 
biente di sviluppo da noi utilizziamo ed il suo 
numero di versione 
java — classpath 



LINK UTILI 

Sito ufficiale di Sun Microsystems 
http://java.sun.com 

Qui potete trovare tutto per programmare sotto Mac OS 

http://www.apple.com/java 
http://developer.apple.com/java 

Sito ufficiale di Jikes, il compilatore open source di IBM 

http://ibm.com/developerworks/opensource/jikes/ 

Da questo indirizzo potete scaricare un'ottimo editor facilitato per 
Windows completamente gratuito ed efficiente 

http://www.jcreator.com/ 
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